Rimuovere un profilo VPN di Windows non revoca l’accesso

Elimini la connessione dalle Impostazioni di Windows, riapri l’elenco e rieccola. Oppure è sparita dalle Impostazioni ma risponde ancora a PowerShell. Oppure hai disinstallato il client VPN e la voce non se n’è mai andata. Tutti e tre i casi nascono da un’unica ipotesi sbagliata: che un profilo VPN di Windows faccia parte del software VPN.

Non è così. Un profilo è un record di connessione in un file di rubrica. Rimuoverlo cancella quel record, in un ambito, da un solo archivio. Il client, i suoi certificati e la fiducia del gateway nella tua credenziale restano esattamente dov’erano.

Che cosa elimina davvero Remove-VpnConnection

I profili nativi vivono in rasphone.pbk: una rubrica sotto ogni profilo utente, una a livello macchina sotto ProgramData. Le voci per utente le elenca Get-VpnConnection; l’aggiunta di -AllUserConnection elenca quelle a livello macchina. Lo stesso nome può esistere in entrambi gli elenchi, e i due record sono oggetti distinti.

Remove-VpnConnection -Name "Old Office" -Force elimina il record per utente corrispondente. Lo stesso comando con -AllUserConnection elimina il record a livello macchina e richiede una shell elevata. In ogni caso il cmdlet tocca solo quel record: nessuna disinstallazione, nessuna pulizia dei certificati, nessun messaggio al server. Il riferimento a Remove-VpnConnection elenca i parametri, ed entrambi i cmdlet supportano -WhatIf.

La domanda, prima di eseguire qualsiasi cosa, non è quindi come eliminare un profilo VPN. È quale dei due record tu stia guardando. Un’anteprima risponde in una riga:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Se l’anteprima segnala che nulla corrisponde, sei nell’ambito sbagliato e l’altro comando troverà la voce. Se nomina l’obiettivo, hai quello giusto.

Perché la voce ritorna dopo averla eliminata

Un profilo che ricompare in pochi minuti non era mai stato tuo da eliminare. Su un portatile gestito la connessione di solito arriva da una distribuzione: una configurazione VPN di Intune o dei criteri di gruppo, un pacchetto CMAK inviato dal team di rete o uno script di accesso. Elimina il record e il successivo aggiornamento dei criteri lo riscrive.

L’indizio è il momento. Un profilo gestito ritorna al ciclo di aggiornamento, non al riavvio successivo, e ritorna con lo stesso indirizzo del server e lo stesso metodo di autenticazione che hai appena rimosso. Un profilo aggiunto a mano resta assente.

Risolvi alla fonte: fai rimuovere l’assegnazione dal dispositivo o dall’utente, poi elimina il record locale. Se non puoi, tratta la voce come un oggetto gestito e lasciala stare invece di pianificare un’eliminazione che perderà sempre.

Disinstallare il client è un altro lavoro

I client di terze parti tengono archivi propri. Cisco Secure Client, GlobalProtect, OpenVPN GUI e il servizio tunnel WireGuard conservano ciascuno i dati di connessione fuori dalla rubrica di Windows. Rimuovere la voce nativa lascia tutto intatto, e disinstallare l’app può lasciare indietro la voce nativa perché il profilo era stato importato a parte.

Le importazioni sono la trappola tipica. Se hai aggiunto la connessione da un .pbk, da un .cmpbk o da un file di configurazione scaricato, eliminare quel file non elimina il record che ha creato, e riaprendo il file lo ricrea. Rimuovi prima la voce, elimina il file dopo, poi connettiti e disconnettiti una volta per confermare che non sia tornato nulla.

Rimuovere non è revocare

Se elimini il profilo perché un portatile è andato perso, una macchina è condivisa o un file di configurazione è trapelato, la rimozione locale è quasi solo cosmetica. Il gateway continua a fidarsi del certificato o della chiave precondivisa finché l’operatore non la revoca. Eliminare il record impedisce a questa macchina di avviare una nuova connessione; non impedisce a una copia della credenziale di connettersi altrove.

Fai la revoca sul lato che concede l’accesso: togli il certificato dall’elenco fidato, disabilita l’account, ruota la chiave. Poi pulisci il profilo locale. Inverti l’ordine e ti ritrovi una macchina senza profilo e una credenziale che funziona ancora.

Un controllo in quattro passi prima di dichiararti soddisfatto

L’intera sequenza richiede circa un minuto e intercetta quasi ogni rimozione nell’ambito sbagliato:

1. Elenca entrambi gli ambiti e annota il nome esatto e l’indirizzo del server.
2. Esegui la rimozione con -WhatIf sull’ambito che corrispondeva.
3. Eseguila di nuovo senza -WhatIf, elevata se la voce è per tutti gli utenti.
4. Elenca di nuovo entrambi gli ambiti, riapri Impostazioni e conferma che le altre connessioni funzionino ancora.

Se il passo 4 mostra ancora la voce, la rimozione ha colpito in silenzio l’altro ambito. Se la voce ritorna dopo un po’, hai davanti una distribuzione. Se Impostazioni la mostra ancora mentre entrambi gli elenchi del cmdlet sono vuoti, chiudi e riapri la pagina, che tiene l’elenco in cache più a lungo di quanto la rubrica conservi il record.

Poi: decidi se la voce era un residuo locale o un oggetto gestito. Un residuo è sicuro da eliminare una volta e dimenticare. Un oggetto gestito richiede prima un cambio di assegnazione, altrimenti la tua rimozione è solo una corsa che perderai. E se l’obiettivo reale era chiudere l’accesso, la modifica al gateway conta molto più di qualsiasi cosa tu faccia al profilo.