Чаму Windows увесь час просіць пароль VPN

Ваш пароль захаваны, сцяжок усталяваны, а наступнае злучэнне ўсё роўна запытвае ўліковыя даныя. Гэты цыкл мае ў Windows тры магчымыя прычыны: палітыка на ўзроўні машыны, якая забараняе захаванне, профіль, што знаходзіцца ў іншым сховішчы, чым уліковы запіс, які ім карыстаецца, або метад аўтэнтыфікацыі, якога майстар профілю так і не запісаў. Кожная выпраўляецца ў іншым месцы, і змена не той прычыны стварае супакойлівае ўражанне прагрэсу, пакуль поле застаецца пустым. Менавіта найменне прычыны спачатку ператварае цыкл у праверку на дзве хвіліны.

Палітыка машыны можа забараніць захаванне

Адно значэнне ў канфігурацыі службы аддаленага доступу можа адключыць захаванне ўліковых даных для ўсяго камп’ютара. Пакуль яно дзейнічае, усталяванне сцяжка нічога не змяняе, бо кліенту няма куды падзець сакрэт. Таму наступная спроба пачынаецца з пустога поля, і ніводная налада ўзроўню профілю не можа яе перамагчы. Гэта першае, што трэба прачытаць, бо гэта адзіная з трох прычын, якая закранае ўсе запісы адначасова.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Прачытайце значэнне перад перабудовай злучэння і стаўцеся да машыны, наладжанай такім чынам, як да наўмыснай, а не зламанай: нуль — гэта звычайны стан, а адзінка блакуе захаванне для кожнага профілю на машыне. На кіраванай прыладзе папрасіце ўладальніка палітыкі змяніць яе замест правак рэестра пад сваім запісам. Адна абнаўленне верне старое значэнне на працягу тыдня, і карыстальнік прыйдзе да высновы, што выпраўленне ніколі не працавала. Вось чаму лакальная праўка пазней выглядае як правал. Спытайцеся, ці абмежаванне наўмыснае, перш чым змагацца з ім.

Профіль можа ляжаць у іншым сховішчы

Windows трымае адну тэлефонную кнігу на кожны ўліковы запіс і адну на ўсю машыну, і злучэнне, створанае ў першай, нябачнае для другой. Сімптом — адсутнае злучэнне або запыт, які ніколі не прапануе захаваныя ўліковыя даныя. Пералік абодвух асяродкаў патрабуе па адной камандзе і вырашае пытанне за секунды. Зрабіце гэта, перш чым вырашыць, што ўліковыя даныя страчаны.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Стварыце профіль з параметрам для ўсіх карыстальнікаў, калі ім павінен карыстацца кожны запіс на машыне. Пералік таксама паказвае метад аўтэнтыфікацыі побач з кожнай назвай, што адразу звужае расследаванне. Асяродак вырашае, дзе жыве канфігурацыя; ён не ператварае злучэнне ў тунэль прылады і не дзеліць уліковыя даныя аднаго карыстальніка з усімі. Ён таксама ўзаемадзейнічае з запускам, бо службовы запіс, які дазваніваецца пры загрузцы, не бачыць профілю, створанага ў сховішчы карыстальніка.

Майстар мог ніколі не запісаць метад

Майстар IKEv2 мае даўнюю шурпатую краіну. Выбар аўтэнтыфікацыі па імені карыстальніка і паролі не заўсёды захоўваецца, і наступны візіт у майстар зноў паказвае агульны пункт. Захаванае значэнне — гэта тое, да чаго кліент звяртаецца падчас злучэння, таму адсутны метад выглядае дакладна як адсутны пароль. Застаецца профіль без метаду аўтэнтыфікацыі, і гэта пакідае захаваны сакрэт без нічога, да чаго можна прывязаць.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

Яўнае ўстанаўленне метаду цалкам пазбягае дыялогу, а чытанне значэння назад даказвае, што было запісана. Значэнне, якое само вяртаецца, азначае, што нешта іншае перапісвае профіль.

Пацвердзіце выхадам, а не перападключэннем

Перападключэнне ў адной сесіі паўторна выкарыстоўвае стан, які сапраўдны ўваход перабудоўвае, таму яно можа цалкам схаваць праблему сховішча. Выйдзіце з сістэмы, увайдзіце зноў і запусціце злучэнне, назіраючы, ці прапануюцца ўліковыя даныя або запытваюцца. Затым зноў запусціце пералікі, бо профіль павінен з’явіцца ў тым сховішчы, якога вы чакаеце, а метад павінен застацца тым, які вы ўсталявалі. Паўтор у той жа сесіі даказвае толькі, што кэшаваныя ўліковыя даныя яшчэ былі ў памяці.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Калі запыт усё роўна вяртаецца, рэшткавы кандыдат — сам метад, або абнаўленне палітыкі ціха аднавіла зыходнае абмежаванне. Праверце гэтыя два, перш чым пераўсталёўваць кліент, які ніколі не ўдзельнічаў. Абодва пакідаюць свой след у вывадзе пераліку.

Запішыце прычыну, якую вы змянілі, і доказ, які яе пацвердзіў. Абнаўленне профілю можа вярнуць пустое поле, і менавіта запіска робіць паўтор таньнейшым.