Ein Windows-VPN-Profil zu entfernen widerruft keinen Zugriff

Sie löschen die Verbindung in den Windows-Einstellungen, öffnen die Liste erneut, und sie ist wieder da. Oder sie fehlt in den Einstellungen, antwortet aber weiterhin auf PowerShell. Oder Sie haben den VPN-Client deinstalliert, und der Eintrag ist nie verschwunden. Alle drei Fälle kommen aus einer falschen Annahme: dass ein Windows-VPN-Profil Teil der VPN-Software ist.

Ist es nicht. Ein Profil ist ein Verbindungsdatensatz in einer Telefonbuchdatei. Wer es entfernt, löscht diesen Datensatz in einer Ebene aus einem Speicher. Der Client, seine Zertifikate und das Vertrauen des Gateways in Ihre Anmeldedaten bleiben genau, wo sie waren.

Was Remove-VpnConnection tatsächlich löscht

Native Profile liegen in rasphone.pbk: ein Telefonbuch unter jedem Benutzerprofil, eines systemweit unter ProgramData. Die Einträge pro Benutzer listet Get-VpnConnection auf; die systemweiten listet derselbe Aufruf mit -AllUserConnection auf. Derselbe Name kann in beiden Listen stehen, und die beiden Datensätze sind getrennte Objekte.

Remove-VpnConnection -Name "Old Office" -Force löscht den passenden Eintrag pro Benutzer. Derselbe Befehl mit -AllUserConnection löscht den systemweiten Datensatz und braucht eine erhöhte Shell. So oder so berührt das Cmdlet nur diesen Datensatz: keine Deinstallation, keine Zertifikatsbereinigung, keine Nachricht an den Server. Die Referenz zu Remove-VpnConnection listet die Parameter, und beide Cmdlets unterstützen -WhatIf.

Die Frage ist vor dem Ausführen also nicht, wie man ein VPN-Profil löscht. Sondern welchen der beiden Datensätze Sie vor sich haben. Eine Vorschau beantwortet das in einer Zeile:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Meldet die Vorschau, dass nichts passt, sind Sie in der falschen Ebene, und der andere Befehl wird den Eintrag finden. Nennt sie das Ziel, haben Sie die richtige.

Warum der Eintrag nach dem Löschen zurückkommt

Ein Profil, das nach Minuten wieder auftaucht, war nie Ihres zum Löschen. Auf einem verwalteten Laptop kommt die Verbindung meist aus einem Rollout: eine VPN-Konfiguration aus Intune oder Gruppenrichtlinie, ein vom Netzwerkteam verteiltes CMAK-Paket oder ein Anmeldeskript. Löschen Sie den Datensatz, schreibt der nächste Richtlinienabgleich ihn zurück.

Das Erkennungszeichen ist der Zeitpunkt. Ein verwaltetes Profil kehrt im Aktualisierungszyklus zurück, nicht beim nächsten Neustart, und es kehrt mit derselben Serveradresse und derselben Authentifizierungsmethode zurück, die Sie gerade entfernt haben. Ein von Hand hinzugefügtes Profil bleibt weg.

Beheben Sie das an der Quelle: Lassen Sie die Zuweisung vom Gerät oder vom Benutzer entfernen, und löschen Sie dann den lokalen Datensatz. Wenn das nicht geht, behandeln Sie den Eintrag als verwaltetes Objekt und lassen ihn in Ruhe, statt eine Löschung zu planen, die immer wieder verliert.

Den Client zu deinstallieren ist eine andere Aufgabe

Clients von Drittanbietern führen eigene Speicher. Cisco Secure Client, GlobalProtect, OpenVPN GUI und der WireGuard-Tunneldienst halten Verbindungsdaten jeweils außerhalb des Windows-Telefonbuchs. Das Entfernen des nativen Eintrags lässt all das unberührt, und die Deinstallation der App kann den nativen Eintrag zurücklassen, weil das Profil getrennt importiert wurde.

Importe sind die übliche Falle. Wenn Sie die Verbindung aus einer .pbk, einer .cmpbk oder einer heruntergeladenen Konfigurationsdatei hinzugefügt haben, löscht das Löschen dieser Datei nicht den erzeugten Datensatz, und erneutes Öffnen der Datei legt ihn wieder an. Entfernen Sie zuerst den Eintrag, löschen Sie dann die Datei, und verbinden und trennen Sie einmal, um zu bestätigen, dass nichts zurückkam.

Entfernen ist kein Widerruf

Wenn Sie das Profil löschen, weil ein Laptop verloren ging, ein Rechner geteilt wird oder eine Konfigurationsdatei durchgesickert ist, ist das lokale Entfernen fast nur Kosmetik. Das Gateway vertraut dem Zertifikat oder dem vorab geteilten Schlüssel weiter, bis der Betreiber ihn widerruft. Den Datensatz zu löschen hindert diesen Rechner daran, eine neue Verbindung aufzubauen; es hindert keine Kopie der Anmeldedaten daran, sich anderswo zu verbinden.

Widerrufen Sie auf der Seite, die den Zugang gewährt: Nehmen Sie das Zertifikat aus der Liste der vertrauenswürdigen, deaktivieren Sie das Konto, wechseln Sie den Schlüssel. Danach bereinigen Sie das lokale Profil. Drehen Sie die Reihenfolge um, haben Sie am Ende einen Rechner ohne Profil und Anmeldedaten, die weiter funktionieren.

Eine Prüfung in vier Schritten, bevor Sie es für erledigt erklären

Die ganze Folge dauert etwa eine Minute und fängt fast jedes Entfernen in der falschen Ebene ab:

1. Listen Sie beide Ebenen und notieren Sie den genauen Namen und die Serveradresse.
2. Führen Sie das Entfernen mit -WhatIf gegen die passende Ebene aus.
3. Führen Sie es erneut ohne -WhatIf aus, mit erhöhten Rechten, wenn der Eintrag systemweit ist.
4. Listen Sie beide Ebenen erneut, öffnen Sie die Einstellungen erneut und bestätigen Sie, dass Ihre anderen Verbindungen weiter funktionieren.

Zeigt Schritt 4 den Eintrag immer noch, hat das Entfernen still die andere Ebene getroffen. Kommt der Eintrag nach einer Weile zurück, sehen Sie einen Rollout. Zeigen die Einstellungen ihn noch, während beide Cmdlet-Listen leer sind, schließen und öffnen Sie die Seite erneut; sie hält ihre Liste länger im Cache, als das Telefonbuch den Datensatz behält.

Als Nächstes: Entscheiden Sie, ob der Eintrag ein lokaler Rest oder ein verwaltetes Objekt war. Ein Rest ist sicher einmal zu löschen und zu vergessen. Ein verwaltetes Objekt braucht zuerst eine geänderte Zuweisung, sonst ist Ihr Entfernen nur ein Wettlauf, den Sie verlieren. Und wenn das eigentliche Ziel war, den Zugang zu kappen, zählt die Änderung am Gateway weit mehr als alles, was Sie am Profil tun.