Een Windows-VPN-profiel verwijderen trekt toegang niet in

Je verwijdert de verbinding in Windows Instellingen, opent de lijst opnieuw, en hij staat er weer. Of hij is weg uit Instellingen maar antwoordt nog steeds op PowerShell. Of je hebt de VPN-client verwijderd en de vermelding is nooit weggegaan. Alle drie komen uit één verkeerde aanname: dat een Windows-VPN-profiel deel uitmaakt van de VPN-software.

Dat is het niet. Een profiel is een verbindingsrecord in een telefoonboekbestand. Het verwijderen wist dat record, in één bereik, uit één opslag. De client, zijn certificaten en het vertrouwen van de gateway in je referentie blijven precies waar ze waren.

Wat Remove-VpnConnection echt verwijdert

Systeemeigen profielen staan in rasphone.pbk: één telefoonboek onder elk gebruikersprofiel, één machinebreed onder ProgramData. Get-VpnConnection toont de vermeldingen per gebruiker; toevoegen van -AllUserConnection toont die van de hele machine. Dezelfde naam kan in beide lijsten staan, en de twee records zijn afzonderlijke objecten.

Remove-VpnConnection -Name "Old Office" -Force verwijdert het bijbehorende record per gebruiker. Dezelfde opdracht met -AllUserConnection verwijdert het machinebrede record en vereist een verhoogde shell. Hoe dan ook raakt de cmdlet alleen dat record: geen verwijdering van de software, geen certificaatopruiming, geen bericht naar de server. De verwijzing naar Remove-VpnConnection somt de parameters op, en beide cmdlets ondersteunen -WhatIf.

De vraag vóór je iets uitvoert is dus niet hoe je een VPN-profiel verwijdert. Het is welk van de twee records je voor je hebt. Een voorbeeld beantwoordt dat in één regel:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Meldt het voorbeeld dat niets overeenkomt, dan zit je in het verkeerde bereik en vindt de andere opdracht de vermelding. Noemt het het doel, dan heb je het juiste.

Waarom de vermelding terugkomt nadat je hem hebt verwijderd

Een profiel dat binnen enkele minuten terugkomt, was nooit van jou om te verwijderen. Op een beheerde laptop komt de verbinding meestal uit een uitrol: een VPN-configuratie van Intune of Groepsbeleid, een door het netwerkteam gepusht CMAK-pakket, of een aanmeldingsscript. Verwijder het record en de volgende beleidsvernieuwing schrijft het terug.

Het signaal is de timing. Een beheerd profiel komt terug op een vernieuwingscyclus, niet bij de volgende herstart, en het komt terug met hetzelfde serveradres en dezelfde authenticatiemethode die je net hebt verwijderd. Een profiel dat je met de hand toevoegde, blijft weg.

Los dat bij de bron op: laat de toewijzing van het apparaat of de gebruiker halen en verwijder dan het lokale record. Lukt dat niet, behandel de vermelding dan als een beheerd object en laat hem met rust in plaats van een verwijdering te plannen die steeds verliest.

De client verwijderen is ander werk

Clients van derden houden eigen opslagen bij. Cisco Secure Client, GlobalProtect, OpenVPN GUI en de WireGuard-tunneldienst bewaren hun verbindingsgegevens elk buiten het Windows-telefoonboek. Het systeemeigen record verwijderen laat dat allemaal ongemoeid, en de app verwijderen kan het systeemeigen record achterlaten omdat het profiel apart is geïmporteerd.

Import is de gebruikelijke valkuil. Heb je de verbinding toegevoegd uit een .pbk, een .cmpbk of een gedownload configuratiebestand, dan verwijdert het wissen van dat bestand niet het record dat het aanmaakte, en het bestand opnieuw openen maakt het opnieuw aan. Verwijder eerst de vermelding, wis daarna het bestand, en maak dan één keer verbinding en verbreek die om te bevestigen dat er niets terugkwam.

Verwijderen is geen intrekken

Verwijder je het profiel omdat een laptop kwijt is, een machine gedeeld wordt of een configuratiebestand is uitgelekt, dan is lokaal verwijderen bijna cosmetisch. De gateway vertrouwt het certificaat of de vooraf gedeelde sleutel nog tot de beheerder die intrekt. Het record wissen houdt deze machine tegen om een nieuwe verbinding te starten; het houdt geen kopie van de referentie tegen om elders te verbinden.

Doe het intrekken aan de kant die toegang verleent: haal het certificaat uit de vertrouwde lijst, schakel het account uit, roteer de sleutel. Ruim daarna het lokale profiel op. Draai je de volgorde om, dan houd je een machine zonder profiel over en een referentie die nog werkt.

Een controle in vier stappen voordat je het af noemt

De hele reeks duurt ongeveer een minuut en vangt bijna elke verwijdering in het verkeerde bereik:

1. Noem beide bereiken en schrijf de exacte naam en het serveradres op.
2. Voer de verwijdering uit met -WhatIf op het bereik dat overeenkwam.
3. Voer hem opnieuw uit zonder -WhatIf, verhoogd als de vermelding voor alle gebruikers is.
4. Noem beide bereiken opnieuw, heropen Instellingen en bevestig dat je andere verbindingen nog werken.

Toont stap 4 de vermelding nog, dan mikte de verwijdering stilletjes op het andere bereik. Komt de vermelding na een tijdje terug, dan kijk je naar een uitrol. Toont Instellingen hem nog terwijl beide cmdlet-lijsten leeg zijn, sluit en heropen dan de pagina, die zijn lijst langer in de cache houdt dan het telefoonboek het record bewaart.

Dan: bepaal of de vermelding een lokaal restje of een beheerd object was. Een restje is veilig om één keer te verwijderen en te vergeten. Een beheerd object vereist eerst een gewijzigde toewijzing, anders is je verwijdering alleen een race die je verliest. En als het echte doel was de toegang af te snijden, weegt de wijziging op de gateway veel zwaarder dan alles wat je aan het profiel doet.