Supprimer un profil VPN Windows ne révoque pas l’accès

Vous supprimez la connexion dans les Paramètres Windows, vous rouvrez la liste, et elle est revenue. Ou elle a disparu des Paramètres mais répond encore à PowerShell. Ou vous avez désinstallé le client VPN et l’entrée n’est jamais partie. Les trois cas viennent d’une même hypothèse fausse : qu’un profil VPN Windows fasse partie du logiciel VPN.

Ce n’est pas le cas. Un profil est un enregistrement de connexion dans un fichier de carnet d’adresses. Le retirer supprime cet enregistrement, dans une portée, depuis un seul magasin. Le client, ses certificats et la confiance de la passerelle envers votre identifiant restent exactement là où ils étaient.

Ce que Remove-VpnConnection supprime réellement

Les profils natifs vivent dans rasphone.pbk : un carnet par profil utilisateur, un autre à l’échelle de la machine sous ProgramData. Les entrées par utilisateur sont listées par Get-VpnConnection ; l’ajout de -AllUserConnection liste celles de la machine. Un même nom peut exister dans les deux listes, et les deux enregistrements sont des objets distincts.

Remove-VpnConnection -Name "Old Office" -Force supprime l’enregistrement par utilisateur correspondant. La même commande avec -AllUserConnection supprime l’enregistrement de la machine et exige un shell élevé. Dans les deux cas, l’applet ne touche que cet enregistrement : aucune désinstallation, aucun nettoyage de certificat, aucun message au serveur. La référence de Remove-VpnConnection liste les paramètres, et les deux applets prennent en charge -WhatIf.

La question, avant d’exécuter quoi que ce soit, n’est donc pas comment supprimer un profil VPN. C’est lequel des deux enregistrements vous avez sous les yeux. Un aperçu y répond en une ligne :

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Si l’aperçu indique que rien ne correspond, vous êtes dans la mauvaise portée et l’autre commande trouvera l’entrée. S’il nomme la cible, vous avez la bonne.

Pourquoi l’entrée revient après suppression

Un profil qui réapparaît en quelques minutes n’était pas à vous. Sur un portable géré, la connexion arrive généralement d’un déploiement : une configuration VPN Intune ou de stratégie de groupe, un paquet CMAK poussé par l’équipe réseau, ou un script d’ouverture de session. Supprimez l’enregistrement, et le prochain rafraîchissement de stratégie le réécrit.

L’indice, c’est le moment. Un profil géré revient au cycle de rafraîchissement, pas au redémarrage suivant, et il revient avec la même adresse de serveur et la même méthode d’authentification que vous venez de retirer. Un profil ajouté à la main reste absent.

Réglez cela à la source : faites retirer l’affectation de l’appareil ou de l’utilisateur, puis supprimez l’enregistrement local. Si vous ne pouvez pas, traitez l’entrée comme un objet géré et laissez-la tranquille plutôt que de planifier une suppression qui perdra à chaque fois.

Désinstaller le client est un autre travail

Les clients tiers gardent leurs propres magasins. Cisco Secure Client, GlobalProtect, OpenVPN GUI et le service de tunnel WireGuard stockent chacun leurs données de connexion hors du carnet Windows. Retirer l’entrée native laisse tout cela intact, et désinstaller l’application peut laisser l’entrée native derrière, parce que le profil avait été importé séparément.

Les imports sont le piège habituel. Si vous avez ajouté la connexion depuis un .pbk, un .cmpbk ou un fichier de configuration téléchargé, supprimer ce fichier ne supprime pas l’enregistrement créé, et rouvrir le fichier le recrée. Retirez d’abord l’entrée, supprimez le fichier ensuite, puis connectez-vous et déconnectez-vous une fois pour confirmer que rien n’est revenu.

Retirer n’est pas révoquer

Si vous supprimez le profil parce qu’un portable a été perdu, qu’une machine est partagée ou qu’un fichier de configuration a fuité, la suppression locale est presque cosmétique. La passerelle fait toujours confiance au certificat ou à la clé pré-partagée tant que l’opérateur ne l’a pas révoqué. Supprimer l’enregistrement empêche cette machine d’ouvrir une nouvelle connexion ; cela n’empêche pas une copie de l’identifiant de se connecter ailleurs.

Faites la révocation du côté qui accorde l’accès : retirez le certificat de la liste de confiance, désactivez le compte, changez la clé. Ensuite, nettoyez le profil local. Inversez l’ordre et vous obtenez une machine sans profil et un identifiant qui fonctionne toujours.

Une vérification en quatre étapes avant de conclure

Toute la séquence prend environ une minute et attrape presque toutes les suppressions dans la mauvaise portée :

1. Listez les deux portées et notez le nom exact et l’adresse du serveur.
2. Lancez la suppression avec -WhatIf sur la portée qui correspondait.
3. Relancez-la sans -WhatIf, avec élévation si l’entrée est pour tous les utilisateurs.
4. Relistez les deux portées, rouvrez les Paramètres et vérifiez que vos autres connexions fonctionnent toujours.

Si l’étape 4 montre encore l’entrée, la suppression a visé discrètement l’autre portée. Si l’entrée revient au bout d’un moment, vous avez affaire à un déploiement. Si les Paramètres la montrent encore alors que les deux listes d’applets sont vides, fermez et rouvrez la page, qui garde sa liste en cache plus longtemps que le carnet ne conserve l’enregistrement.

Ensuite : déterminez si l’entrée était un reste local ou un objet géré. Un reste se supprime une fois sans risque et s’oublie. Un objet géré exige d’abord une modification d’affectation, sinon votre suppression n’est qu’une course que vous perdrez. Et si le vrai but était de couper l’accès, le changement côté passerelle compte bien plus que tout ce que vous faites au profil.