Inventarie los perfiles VPN del portátil antes de retirarlo

El portátil vuelve a la empresa de arrendamiento, a un compañero o al reciclador. En algún lugar de su interior hay perfiles VPN que se autentican como alguien, y un icono de cliente desconectado no significa que hayan desaparecido. El inventario que quiere es una lista de identidades y propietarios, no una carpeta de claves copiadas. Lo primero es útil; lo segundo es un incidente nuevo esperando una fecha.

Cinco pasos, empezando por lo que la máquina ya sabe de sí misma.

Paso 1: enumere lo que el sistema cree que está instalado

En Windows, Get-VpnConnection y Get-VpnConnection -AllUserConnection enumeran los perfiles nativos en ambos ámbitos, y la vista de programas instalados captura a los clientes de terceros. En macOS, el panel Red muestra los servicios configurados, y los perfiles viven en la configuración del sistema y no en una carpeta que pueda explorar. En Linux, NetworkManager guarda los archivos de conexión y los demonios de túnel guardan los suyos. Anote la lista antes de borrar nada.

Un cliente instalado pero sin perfil visible sigue importando, porque puede guardar credenciales en caché en un almacén del sistema.

Paso 2: encuentre los perfiles que guardan los clientes

Los perfiles se esconden en lugares predecibles cuando se conoce la plataforma. Windows guarda las libretas de teléfonos bajo el perfil de usuario y bajo ProgramData, con los certificados en el almacén personal. macOS guarda los servicios de red en el plist de configuración del sistema y las credenciales en el Keychain. Las distribuciones de Linux guardan las conexiones de NetworkManager en /etc/NetworkManager/system-connections/, y las definiciones de WireGuard u OpenVPN en /etc/wireguard/ y /etc/openvpn/. Los archivos de esas rutas suelen llevar una clave privada incrustada.

Busque por contenido y también por nombre. Un archivo llamado backup.txt puede ser un perfil OpenVPN con una clave dentro.

Paso 3: registre la propiedad, no el material de clave

Para cada perfil, registre el identificador, el propietario, el último uso conocido y dónde vive la copia autoritativa. No copie la clave, el certificado ni la contraseña al inventario, porque un inventario viaja por tiques, hojas de cálculo y chats, y sobrevivirá al portátil. Una referencia como la entrada de la caja fuerte del operador para el perfil X basta para actuar.

Un inventario que contiene los secretos que debía ayudar a retirar ha agrandado el problema.

Paso 4: retire la identidad en ambos extremos

Borrar un archivo elimina una copia. Si el dispositivo no volverá a ser de confianza, pida al operador que retire su autorización, revoque su certificado o elimine la cuenta, porque una copia en otro lugar sigue autenticándose. Los perfiles gestionados y los certificados de máquina suelen tener un flujo de baja que ya conoce ambos extremos, y es más rápido que improvisar uno. Deje en paz las entradas del sistema que no reconozca hasta saber de quién son.

El borrado local sin revocación remota es limpieza, no baja.

Paso 5: revise las copias de seguridad que olvidó

Las exportaciones antiguas viven en carpetas de descargas, en archivos de copia de seguridad, en un archivo de notas y en el disco externo de dos trabajos atrás. Revise las que controla, y mantenga cualquier registro histórico necesario separado de las credenciales activas, porque un archivo de un perfil revocado es un registro y no una clave operativa.

Después verifique el estado final: el acceso previsto ya no funciona, y la persona propietaria de la cuenta sabe que se ha eliminado.