Quitar un perfil VPN de Windows no revoca el acceso

Usted borra la conexión en Configuración de Windows, vuelve a abrir la lista y ahí está otra vez. O ya no está en Configuración pero sigue respondiendo a PowerShell. O desinstaló el cliente VPN y la entrada nunca se fue. Los tres casos vienen de una misma suposición errónea: que un perfil VPN de Windows forma parte del software VPN.

No es así. Un perfil es un registro de conexión en un archivo de libreta de direcciones. Quitarlo borra ese registro, en un ámbito, de un solo almacén. El cliente, sus certificados y la confianza de la puerta de enlace en su credencial se quedan exactamente donde estaban.

Qué borra realmente Remove-VpnConnection

Los perfiles nativos viven en rasphone.pbk: una libreta bajo cada perfil de usuario y otra para toda la máquina en ProgramData. Las entradas por usuario las lista Get-VpnConnection; añadir -AllUserConnection lista las de toda la máquina. Un mismo nombre puede existir en ambas listas, y los dos registros son objetos distintos.

Remove-VpnConnection -Name "Old Office" -Force borra el registro por usuario que coincide. El mismo comando con -AllUserConnection borra el registro de toda la máquina y necesita un shell elevado. En ambos casos el cmdlet toca solo ese registro: ni desinstalación, ni limpieza de certificados, ni mensaje al servidor. La referencia de Remove-VpnConnection enumera los parámetros, y ambos cmdlets admiten -WhatIf.

Así que la pregunta antes de ejecutar nada no es cómo borrar un perfil VPN. Es cuál de los dos registros está mirando. Una vista previa lo responde en una línea:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Si la vista previa indica que nada coincide, está en el ámbito equivocado y el otro comando encontrará la entrada. Si nombra el objetivo, tiene el correcto.

Por qué la entrada vuelve después de borrarla

Un perfil que reaparece en pocos minutos nunca fue suyo para borrar. En un portátil gestionado, la conexión suele llegar de un despliegue: una configuración VPN de Intune o de directiva de grupo, un paquete CMAK enviado por el equipo de red o un script de inicio de sesión. Borre el registro y el siguiente ciclo de la directiva lo reescribirá.

La pista es el momento. Un perfil gestionado vuelve en un ciclo de actualización, no en el siguiente arranque, y vuelve con la misma dirección de servidor y el mismo método de autenticación que acaba de quitar. Un perfil añadido a mano sigue ausente.

Resuélvalo en el origen: haga que quiten la asignación del dispositivo o del usuario y luego borre el registro local. Si no puede, trate la entrada como un objeto gestionado y déjela en paz en vez de programar un borrado que perderá siempre.

Desinstalar el cliente es otro trabajo

Los clientes de terceros guardan sus propios almacenes. Cisco Secure Client, GlobalProtect, OpenVPN GUI y el servicio de túnel WireGuard mantienen cada uno sus datos de conexión fuera de la libreta de Windows. Quitar la entrada nativa deja todo eso intacto, y desinstalar la aplicación puede dejar atrás la entrada nativa porque el perfil se importó por separado.

Las importaciones son la trampa habitual. Si añadió la conexión desde un .pbk, un .cmpbk o un archivo de configuración descargado, borrar ese archivo no borra el registro que creó, y volver a abrirlo lo recrea. Quite primero la entrada, borre el archivo después y luego conéctese y desconéctese una vez para confirmar que no ha vuelto nada.

Quitar no es revocar

Si borra el perfil porque se perdió un portátil, se comparte una máquina o se filtró un archivo de configuración, el borrado local es casi cosmético. La puerta de enlace sigue confiando en el certificado o en la clave precompartida hasta que el operador la revoque. Borrar el registro impide que esta máquina inicie una conexión nueva; no impide que una copia de la credencial se conecte en otro sitio.

Haga la revocación en el lado que concede el acceso: saque el certificado de la lista de confianza, desactive la cuenta, rote la clave. Después limpie el perfil local. Invierta el orden y acabará con una máquina sin perfil y una credencial que sigue funcionando.

Una comprobación en cuatro pasos antes de darlo por hecho

Toda la secuencia tarda alrededor de un minuto y atrapa casi todos los borrados en el ámbito equivocado:

1. Enumere ambos ámbitos y anote el nombre exacto y la dirección del servidor.
2. Ejecute el borrado con -WhatIf contra el ámbito que coincidía.
3. Ejecútelo otra vez sin -WhatIf, con elevación si la entrada es para todos los usuarios.
4. Vuelva a enumerar ambos ámbitos, reabra Configuración y confirme que sus otras conexiones siguen funcionando.

Si el paso 4 aún muestra la entrada, el borrado apuntó en silencio al otro ámbito. Si la entrada vuelve al cabo de un rato, está ante un despliegue. Si Configuración aún la muestra mientras las dos listas del cmdlet están vacías, cierre y reabra la página, que guarda su lista en caché más tiempo del que la libreta conserva el registro.

Siguiente paso: decida si la entrada era un resto local o un objeto gestionado. Un resto se puede borrar una vez y olvidarse. Un objeto gestionado necesita primero un cambio de asignación, o su borrado será solo una carrera que perderá. Y si el objetivo real era cortar el acceso, el cambio en la puerta de enlace importa mucho más que cualquier cosa que haga con el perfil.