Eliminar un perfil VPN de Windows non revoga o acceso

Eliminas a conexión desde a Configuración de Windows, volves abrir a lista e está de novo alí. Ou desapareceu da Configuración pero aínda responde a PowerShell. Ou desinstalaches o cliente VPN e a entrada nunca marchou. As tres cousas veñen dunha suposición errónea: que un perfil VPN de Windows forma parte do software VPN.

Non o é. Un perfil é un rexistro de conexión nun ficheiro de libro de teléfono. Eliminalo borra ese rexistro, nun só ámbito, dun só almacén. O cliente, os seus certificados e a confianza da pasarela na túa credencial quedan exactamente onde estaban.

Que elimina realmente Remove-VpnConnection

Os perfís nativos viven en rasphone.pbk: un libro de teléfono baixo cada perfil de usuario, un de ámbito de máquina baixo ProgramData. Get-VpnConnection lista as entradas por usuario; engadir -AllUserConnection lista as de ámbito de máquina. O mesmo nome pode existir nas dúas listas, e os dous rexistros son obxectos separados.

Remove-VpnConnection -Name "Old Office" -Force elimina o rexistro correspondente por usuario. A mesma orde con -AllUserConnection elimina o rexistro de ámbito de máquina e necesita unha consola elevada. En calquera caso o cmdlet só toca ese rexistro: nin desinstalación, nin limpeza de certificados, nin mensaxe ao servidor. A referencia de Remove-VpnConnection lista os parámetros, e ambos cmdlets admiten -WhatIf.

Así que a pregunta antes de executar nada non é como eliminar un perfil VPN. É cal dos dous rexistros estás mirando. Unha previsualización respóndea nunha liña:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Se a previsualización informa de que non hai ningunha coincidencia, estás no ámbito equivocado e a outra orde atopará a entrada. Se nomea o obxectivo, tes a correcta.

Por que a entrada volve despois de eliminala

Un perfil que reaparece en poucos minutos nunca foi teu para eliminar. Nun portátil xestionado a conexión adoita chegar dunha implantación: unha configuración VPN de Intune ou de Directiva de grupo, un paquete CMAK enviado polo equipo de rede ou un script de inicio de sesión. Elimina o rexistro e a seguinte actualización da política volverao escribir.

A pista é o momento. Un perfil xestionado volve nun ciclo de actualización, non no seguinte reinicio, e volve co mesmo enderezo de servidor e o mesmo método de autenticación que acabas de eliminar. Un perfil que engadiches a man queda fóra.

Corríxeo na orixe: fai que se retire a asignación do dispositivo ou do usuario e despois elimina o rexistro local. Se non podes, trata a entrada como un obxecto xestionado e déixaa en paz en vez de programar unha eliminación que perde unha vez tras outra.

Desinstalar o cliente é outro traballo

Os clientes de terceiros teñen os seus propios almacéns. Cisco Secure Client, GlobalProtect, OpenVPN GUI e o servizo de túnel WireGuard gardan os datos de conexión fóra do libro de teléfono de Windows. Eliminar a entrada nativa deixa todo iso intacto, e desinstalar a aplicación pode deixar atrás a entrada nativa porque o perfil se importou por separado.

As importacións son o obstáculo habitual. Se engadiches a conexión desde un .pbk, un .cmpbk ou un ficheiro de configuración descargado, eliminar ese ficheiro non elimina o rexistro que creou, e volver abrir o ficheiro volve crealo. Elimina primeiro a entrada, despois o ficheiro, e conecta e desconecta unha vez para confirmar que non volveu nada.

Eliminar non é revogar

Se eliminas o perfil porque se perdeu un portátil, unha máquina é compartida ou se filtrou un ficheiro de configuración, a eliminación local é case cosmética. A pasarela aínda confía no certificado ou na clave precompartida ata que o operador a revogue. Eliminar o rexistro impide que esta máquina inicie unha conexión nova; non impide que unha copia da credencial se conecte noutro lugar.

Fai a revogación no lado que concede o acceso: retira o certificado da lista de confianza, desactiva a conta, rota a clave. Despois limpa o perfil local. Inverte a orde e acabarás cunha máquina sen perfil e unha credencial que aínda funciona.

Unha comprobación de catro pasos antes de darlo por feito

Toda a secuencia dura aproximadamente un minuto e atrapa case calquera eliminación no ámbito equivocado:

1. Lista os dous ámbitos e anota o nome exacto e o enderezo do servidor.
2. Executa a eliminación con -WhatIf contra o ámbito que coincidiu.
3. Execútaa outra vez sen -WhatIf, con privilexios elevados se a entrada é de todos os usuarios.
4. Volve listar os dous ámbitos, abre a Configuración e confirma que as túas outras conexións aínda funcionan.

Se o paso 4 aínda mostra a entrada, a eliminación apuntou en silencio ao outro ámbito. Se a entrada volve ao cabo dun tempo, estás ante unha implantación. Se a Configuración aínda a mostra mentres as dúas listas do cmdlet están baleiras, pecha e volve abrir a páxina, que garda a súa lista máis tempo do que o libro de teléfono conserva o rexistro.

Agora: decide se a entrada era un resto local ou un obxecto xestionado. Un resto pódese eliminar unha vez e esquecer. Un obxecto xestionado necesita que primeiro se cambie a asignación, ou a túa eliminación só é unha carreira que perderás. E se o obxectivo real era cortar o acceso, o cambio na pasarela importa moito máis que calquera cousa que fagas ao perfil.