Eliminar un perfil VPN de Windows no revoca l’accés

Elimines la connexió des de la Configuració del Windows, tornes a obrir la llista i és allà de nou. O ha desaparegut de la Configuració però encara respon a PowerShell. O has desinstal·lat el client VPN i l’entrada no ha marxat mai. Les tres coses venen d’una suposició errònia: que un perfil VPN de Windows forma part del programari VPN.

No ho és. Un perfil és un registre de connexió dins un fitxer de llibre de telèfon. Eliminar-lo esborra aquest registre, en un sol àmbit, d’un sol magatzem. El client, els seus certificats i la confiança de la passarel·la en la teva credencial es queden exactament on eren.

Què elimina realment Remove-VpnConnection

Els perfils natius viuen a rasphone.pbk: un llibre de telèfon sota cada perfil d’usuari, un d’àmbit de màquina sota ProgramData. Get-VpnConnection llista les entrades per usuari; afegir -AllUserConnection llista les d’àmbit de màquina. El mateix nom pot existir a les dues llistes, i els dos registres són objectes separats.

Remove-VpnConnection -Name "Old Office" -Force elimina el registre corresponent per usuari. La mateixa ordre amb -AllUserConnection elimina el registre d’àmbit de màquina i necessita un shell elevat. En qualsevol cas, el cmdlet només toca aquell registre: cap desinstal·lació, cap neteja de certificats, cap missatge al servidor. La referència de Remove-VpnConnection llista els paràmetres, i tots dos cmdlets admeten -WhatIf.

Així, la pregunta abans d’executar res no és com eliminar un perfil VPN. És quin dels dos registres estàs mirant. Una previsualització ho respon en una línia:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Si la previsualització informa que no hi ha cap coincidència, ets a l’àmbit equivocat i l’altra ordre trobarà l’entrada. Si nomena l’objectiu, tens la correcta.

Per què l’entrada torna després d’eliminar-la

Un perfil que reapareix en pocs minuts no era teu per eliminar. En un portàtil gestionat, la connexió sol arribar d’un desplegament: una configuració VPN d’Intune o de Directiva de grup, un paquet CMAK enviat per l’equip de xarxa o un script d’inici de sessió. Elimina el registre i la propera actualització de la política el tornarà a escriure.

La pista és el moment. Un perfil gestionat torna en un cicle d’actualització, no al proper reinici, i torna amb la mateixa adreça de servidor i el mateix mètode d’autenticació que acabes d’eliminar. Un perfil que has afegit a mà es queda fora.

Corregeix-ho a l’origen: fes que es retiri l’assignació del dispositiu o de l’usuari i després elimina el registre local. Si no pots, tracta l’entrada com un objecte gestionat i deixa-la estar en comptes de programar una eliminació que perd una vegada rere l’altra.

Desinstal·lar el client és una altra feina

Els clients de tercers tenen els seus propis magatzems. Cisco Secure Client, GlobalProtect, OpenVPN GUI i el servei de túnel WireGuard guarden les dades de connexió fora del llibre de telèfon del Windows. Eliminar l’entrada nativa ho deixa tot intacte, i desinstal·lar l’aplicació pot deixar enrere l’entrada nativa perquè el perfil es va importar per separat.

Les importacions són el parany habitual. Si vas afegir la connexió des d’un .pbk, un .cmpbk o un fitxer de configuració baixat, eliminar aquell fitxer no elimina el registre que va crear, i tornar a obrir el fitxer el recrea. Elimina primer l’entrada, després el fitxer, i connecta i desconnecta una vegada per confirmar que no ha tornat res.

Eliminar no és revocar

Si elimines el perfil perquè s’ha perdut un portàtil, una màquina és compartida o s’ha filtrat un fitxer de configuració, l’eliminació local és gairebé cosmètica. La passarel·la encara confia en el certificat o la clau precompartida fins que l’operador la revoca. Eliminar el registre impedeix que aquesta màquina iniciï una connexió nova; no impedeix que una còpia de la credencial es connecti en un altre lloc.

Fes la revocació al costat que concedeix l’accés: treu el certificat de la llista de confiança, desactiva el compte, rota la clau. Després neteja el perfil local. Inverteix l’ordre i acabaràs amb una màquina sense perfil i una credencial que encara funciona.

Una comprovació de quatre passos abans de donar-ho per fet

Tota la seqüència dura aproximadament un minut i atrapa gairebé qualsevol eliminació en l’àmbit equivocat:

1. Llista els dos àmbits i anota el nom exacte i l’adreça del servidor.
2. Executa l’eliminació amb -WhatIf contra l’àmbit que ha coincidit.
3. Torna-la a executar sense -WhatIf, amb privilegis elevats si l’entrada és de tots els usuaris.
4. Torna a llistar els dos àmbits, obre la Configuració i confirma que les teves altres connexions encara funcionen.

Si el pas 4 encara mostra l’entrada, l’eliminació ha apuntat silenciosament a l’altre àmbit. Si l’entrada torna al cap d’una estona, estàs davant d’un desplegament. Si la Configuració encara la mostra mentre les dues llistes del cmdlet són buides, tanca i torna a obrir la pàgina, que guarda la seva llista més temps del que el llibre de telèfon conserva el registre.

Ara: decideix si l’entrada era una resta local o un objecte gestionat. Una resta es pot eliminar un cop i oblidar-se. Un objecte gestionat necessita que primer es canviï l’assignació, o la teva eliminació només és una cursa que perdràs. I si l’objectiu real era tallar l’accés, el canvi a la passarel·la importa molt més que qualsevol cosa que facis al perfil.