OpenVPN desinstalado pero /etc/openvpn sigue ahí: eliminar o purgar

El directorio sigue ahí, el servicio ha desaparecido y no está claro si el paquete está instalado. En los sistemas de la familia Debian, un /etc/openvpn residual suele significar que el paquete se eliminó sin purgarlo, un estado documentado y no uno roto. Los archivos que ves probablemente son configuración, no un programa.

Trabaja en el orden del manual: lee el estado del paquete, decide qué conservar, purga a propósito y luego verifica qué queda. Cada paso es reversible hasta la purga.

Primero lee el estado del paquete

Empieza por la base de datos de paquetes, no por el sistema de archivos. dpkg -l openvpn imprime un estado de dos letras, y rc significa que el paquete se eliminó mientras se conservaban sus archivos de configuración. dpkg-query -W -f='${Status}\n' openvpn da la misma respuesta con palabras. Un listado de directorio no puede decirte nada de eso.

No confundas Community OpenVPN con Access Server ni con un complemento de NetworkManager. Son paquetes distintos con rutas de eliminación distintas.

Si el estado es ii, el paquete está instalado y el directorio es lo esperado. Si es rc, solo queda configuración. Si la consulta no devuelve nada, el paquete se purgó y el directorio pertenece a otra cosa.

Elige entre eliminar y purgar

remove borra los programas y deja la configuración. purge borra también la configuración y ejecuta el script de limpieza del paquete. Ambas son decisiones administrativas sobre el estado, no dos escrituras del mismo comando.

Antes de elegir, enumera lo que posee el paquete con dpkg -L openvpn. Esa salida es el mapa de las rutas gestionadas por el paquete y es la entrada correcta para decidir qué borraría una purga. Todo lo que veas en el directorio y no esté en esa lista vino de otro sitio. Trata esos archivos como tuyos para revisarlos, no como residuos del paquete.

Purgar un paquete ya eliminado está permitido. Reinstalarlo primero no es un requisito.

Conserva lo que aún necesitas

Antes de la purga, conserva lo que aún necesitas: perfiles, certificados de cliente, claves privadas, archivos CCD y cualquier script local. Cópialos con permisos adecuados para secretos y anota dónde viven las copias.

Comprueba si otro servicio o gestor usa el mismo directorio. Una segunda instancia de VPN o un script de automatización pueden depender de una ruta que parece configuración residual.

Si la máquina se da de baja, los archivos locales son la mitad pequeña del problema. Los perfiles exportados y las autorizaciones remotas sobreviven a cualquier directorio que borres.

Purga y verifica

Ejecuta la purga a través del gestor de paquetes, no borrando el directorio. sudo apt purge openvpn mantiene la base de datos de paquetes y los scripts de limpieza en el circuito.

Después, repite la consulta de estado y confirma que el paquete ya no aparece. Comprueba que el servicio ha desaparecido con systemctl status openvpn@server o el nombre de unidad que hayas usado, y prueba la red normal.

Archivos que una purga no eliminará

Algunos archivos sobreviven a una purga por diseño. La configuración generada que manejan los scripts del mantenedor no siempre es conocida por la base de datos de archivos de dpkg. La configuración en los directorios personales de los usuarios queda fuera de la limpieza de los directorios del sistema. Y todo lo que un administrador creó a mano nunca perteneció al paquete. Cada uno de esos casos necesita su propia revisión.

Borrar de forma recursiva cada ruta con VPN en el nombre es como desaparecen credenciales que funcionan y configuración no relacionada.

Termina revocando lo que la máquina ya no necesita: perfiles exportados, certificados de cliente emitidos y cualquier cuenta que se autenticara a través de ella. Borrar un directorio local no revoca una credencial que aún existe en otro sitio. La referencia de dpkg documenta los estados y el alcance de la purga.