Remover um perfil VPN do Windows não revoga o acesso

Você apaga a conexão nas Configurações do Windows, reabre a lista e ela voltou. Ou ela sumiu das Configurações mas ainda responde ao PowerShell. Ou você desinstalou o cliente VPN e a entrada nunca saiu. Os três casos vêm de uma premissa errada: a de que um perfil VPN do Windows faz parte do software VPN.

Não faz. Um perfil é um registro de conexão em um arquivo de catálogo de endereços. Removê-lo apaga esse registro, em um escopo, de um único armazenamento. O cliente, os certificados dele e a confiança do gateway na sua credencial ficam exatamente onde estavam.

O que o Remove-VpnConnection realmente apaga

Perfis nativos ficam em rasphone.pbk: um catálogo sob cada perfil de usuário e outro para toda a máquina em ProgramData. As entradas por usuário são listadas por Get-VpnConnection; acrescentar -AllUserConnection lista as de toda a máquina. O mesmo nome pode existir nas duas listas, e os dois registros são objetos separados.

Remove-VpnConnection -Name "Old Office" -Force apaga o registro por usuário correspondente. O mesmo comando com -AllUserConnection apaga o registro de toda a máquina e exige um shell elevado. De qualquer forma, o cmdlet toca só aquele registro: nenhuma desinstalação, nenhuma limpeza de certificado, nenhuma mensagem ao servidor. A referência do Remove-VpnConnection lista os parâmetros, e os dois cmdlets aceitam -WhatIf.

Então a pergunta, antes de executar qualquer coisa, não é como apagar um perfil VPN. É qual dos dois registros você está olhando. Uma prévia responde em uma linha:

Get-VpnConnection -AllUserConnection | Select-Object Name, ServerAddress
Remove-VpnConnection -Name "Old Office" -AllUserConnection -WhatIf

Se a prévia informar que nada corresponde, você está no escopo errado e o outro comando encontrará a entrada. Se ela nomear o alvo, você está no certo.

Por que a entrada volta depois de você apagá-la

Um perfil que reaparece em minutos nunca foi seu para apagar. Em um notebook gerenciado, a conexão normalmente vem de uma implantação: uma configuração de VPN do Intune ou de Diretiva de Grupo, um pacote CMAK enviado pela equipe de rede ou um script de logon. Apague o registro e a próxima atualização de política o reescreve.

A pista é o momento. Um perfil gerenciado volta no ciclo de atualização, não na próxima reinicialização, e volta com o mesmo endereço de servidor e o mesmo método de autenticação que você acabou de remover. Um perfil adicionado à mão continua ausente.

Resolva na origem: peça a remoção da atribuição do dispositivo ou do usuário e então apague o registro local. Se não puder, trate a entrada como um objeto gerenciado e deixe-a em paz, em vez de agendar uma remoção que sempre perde.

Desinstalar o cliente é outro trabalho

Clientes de terceiros mantêm armazenamentos próprios. Cisco Secure Client, GlobalProtect, OpenVPN GUI e o serviço de túnel WireGuard guardam cada um seus dados de conexão fora do catálogo do Windows. Remover a entrada nativa deixa tudo isso intacto, e desinstalar o aplicativo pode deixar a entrada nativa para trás, porque o perfil foi importado separadamente.

As importações são a armadilha comum. Se você adicionou a conexão a partir de um .pbk, de um .cmpbk ou de um arquivo de configuração baixado, apagar esse arquivo não apaga o registro que ele criou, e abrir o arquivo de novo o recria. Remova a entrada primeiro, apague o arquivo depois e então conecte e desconecte uma vez para confirmar que nada voltou.

Remover não é revogar

Se você está apagando o perfil porque um notebook foi perdido, uma máquina é compartilhada ou um arquivo de configuração vazou, a remoção local é quase cosmética. O gateway continua confiando no certificado ou na chave pré-compartilhada até o operador revogá-la. Apagar o registro impede esta máquina de iniciar uma nova conexão; não impede que uma cópia da credencial se conecte em outro lugar.

Faça a revogação do lado que concede o acesso: tire o certificado da lista de confiança, desative a conta, troque a chave. Depois limpe o perfil local. Inverta a ordem e você fica com uma máquina sem perfil e uma credencial que continua funcionando.

Uma verificação em quatro passos antes de dar por concluído

A sequência toda leva cerca de um minuto e pega quase toda remoção no escopo errado:

1. Liste os dois escopos e anote o nome exato e o endereço do servidor.
2. Execute a remoção com -WhatIf contra o escopo que correspondeu.
3. Execute de novo sem -WhatIf, com elevação se a entrada for para todos os usuários.
4. Liste os dois escopos outra vez, reabra as Configurações e confirme que suas outras conexões continuam funcionando.

Se o passo 4 ainda mostra a entrada, a remoção mirou em silêncio o outro escopo. Se a entrada voltar depois de um tempo, você está diante de uma implantação. Se as Configurações ainda a mostram enquanto as duas listas do cmdlet estão vazias, feche e reabra a página, que guarda a lista em cache por mais tempo do que o catálogo mantém o registro.

Por fim: decida se a entrada era um resto local ou um objeto gerenciado. Um resto pode ser apagado uma vez e esquecido. Um objeto gerenciado precisa primeiro de uma mudança de atribuição, ou sua remoção é só uma corrida que você vai perder. E se o objetivo real era cortar o acesso, a mudança no gateway importa muito mais do que qualquer coisa que você faça no perfil.