Zašto Windows stalno traži lozinku za VPN

Vaša lozinka je sačuvana, polje je označeno, a sljedeća veza i dalje traži akreditiv. Ta petlja ima tri moguća uzroka na Windowsu: mašinski široku politiku koja zabranjuje čuvanje, profil koji živi u drugom spremištu od računa koji ga koristi, ili metod provjere identiteta koji čarobnjak za profil nikada nije zapisao. Svaki se popravlja na drugom mjestu, a promjena pogrešnog stvara utješan osjećaj napretka dok polje ostaje prazno. Imenovanje uzroka na početku je ono što petlju pretvara u provjeru od dvije minute.

Mašinska politika može zabraniti čuvanje

Jedna vrijednost u konfiguraciji usluge udaljenog pristupa može isključiti čuvanje akreditiva za cijelo računalo. Dok je aktivna, označavanje polja ne mijenja ništa, jer klijent nema gdje staviti tajnu. Zato sljedeći pokušaj počinje s praznim poljem i nijedna postavka na razini profila je ne može nadjačati. To je prvo što treba pročitati, jer je jedini od tri uzroka koji pogađa sve račune odjednom.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Pročitajte vrijednost prije nego što obnovite vezu i tretirajte ovako podešeno računalo kao namjerno, a ne pokvareno: nula je normalno stanje, a jedinica blokira čuvanje za svaki profil na mašini. Na upravljanom uređaju zamolite vlasnika politike da je promijeni umjesto da uređujete registar pod svojim računom. Jedno osvježavanje vratit će staru vrijednost u roku od sedmice i korisnik će zaključiti da popravka nikada nije radila. Zato lokalna izmjena kasnije izgleda kao neuspjeh. Pitajte je li ograničenje namjerno prije nego što se s njim borite.

Profil može biti u drugom spremištu

Windows drži jedan imenik po računu i jedan za cijelu mašinu, a veza stvorena u prvom nevidljiva je drugom. Simptom je veza koja nedostaje ili upit koji nikada ne nudi sačuvani akreditiv. Popisivanje oba obuhvata traži po jednu komandu i rješava pitanje u sekundama. Uradite to prije nego što zaključite da je akreditiv izgubljen.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Stvorite profil s opcijom za sve korisnike kada ga mora koristiti svaki račun na mašini. Popis također pokazuje metod provjere identiteta pored svakog imena, što odmah sužava istragu. Obuhvat odlučuje gdje konfiguracija živi; on ne pretvara vezu u tunel uređaja niti dijeli akreditiv jednog korisnika sa svima. Također djeluje na pokretanje, jer servisni račun koji se spaja pri podizanju ne vidi profil stvoren u korisničkom spremištu.

Čarobnjak možda nikada nije zapisao metod

Čarobnjak za IKEv2 ima dugogodišnju hrapavu ivicu. Odabir provjere identiteta korisničkim imenom i lozinkom ne sačuva se uvijek, a sljedeći posjet čarobnjaku ponovno prikazuje generički unos. Sačuvana vrijednost je ono što klijent provjerava pri povezivanju, pa nedostajući metod izgleda tačno kao nedostajuća lozinka. Ostaje profil bez metoda provjere identiteta, što ostavlja sačuvanu tajnu bez ičega za šta bi se vezala.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

Izričito postavljanje metoda u potpunosti zaobilazi dijalog, a čitanje vrijednosti natrag dokazuje šta je zapisano. Vrijednost koja se sama vraća znači da nešto drugo prepisuje profil.

Potvrdite odjavom, a ne ponovnim povezivanjem

Ponovno povezivanje unutar jedne sesije koristi stanje koje prava prijava ponovno gradi, pa može potpuno sakriti problem spremišta. Odjavite se, prijavite se ponovo i pokrenite vezu dok gledate nudi li se akreditiv ili se traži. Zatim ponovno pokrenite popise, jer profil bi se trebao pojaviti u spremištu kojem se nadate, a metod bi trebao ostati onaj koji ste postavili. Ponovni pokušaj u istoj sesiji dokazuje samo da je keširani akreditiv još bio u memoriji.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Ako se upit ipak vrati, preostali kandidat je sam metod ili je osvježavanje politike tiho vratilo izvorno ograničenje. Provjerite to dvoje prije nego što ponovno instalirate klijent koji nikada nije bio uključen. Oba ostavljaju svoj trag u izlazu popisa.

Zapišite uzrok koji ste promijenili i dokaz koji ga je potvrdio. Osvježavanje profila može vratiti prazno polje, a bilješka je ono što ponavljanje čini jeftinim.