Per què el Windows et demana la contrasenya de la VPN una i altra vegada

La contrasenya està desada, la casella està marcada i la connexió següent torna a demanar la credencial. Aquest bucle té tres causes possibles al Windows: una política d’àmbit de màquina que prohibeix desar, un perfil que viu en un magatzem diferent del compte que el fa servir, o un mètode d’autenticació que l’assistent de perfils no va escriure mai. Cada causa es repara en un lloc diferent, i canviar la incorrecta produeix la còmoda impressió d’avançar mentre la caixa continua buida. Anomenar primer la causa és el que converteix el bucle en una comprovació de dos minuts.

Una política de màquina pot prohibir desar

Un sol valor de la configuració del servei d’accés remot pot desactivar el desament de credencials per a tot l’ordinador. Mentre és actiu, marcar la casella no canvia res, perquè el client no té on posar el secret. Per tant, l’intent següent comença amb un camp buit, i cap paràmetre a nivell de perfil no el pot anul·lar. Aquesta és la primera cosa que cal llegir, perquè és l’única de les tres causes que afecta tots els comptes alhora.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Llegeix el valor abans de reconstruir la connexió i tracta una màquina configurada així com a deliberada, no com a espatllada: zero és l’estat normal i u bloqueja el desament per a cada perfil de l’equip. En un dispositiu gestionat, demana al propietari de la política que la canviï en lloc d’editar el registre amb el teu propi compte. Una actualització restaurarà el valor antic en una setmana, i l’usuari conclourà que la solució no va funcionar mai. Per això una edició local sembla un fracàs més endavant. Pregunta si la restricció és volguda abans de lluitar-hi.

El perfil pot ser a l’altre magatzem

El Windows guarda una llibreta de telèfons per compte i una altra per a tota la màquina, i una connexió creada a la primera és invisible per a la segona. El símptoma és una connexió que falta o un avís que no ofereix mai la credencial desada. Llistar els dos àmbits costa una ordre cadascun i resol la qüestió en segons. Fes-ho abans de decidir que la credencial s’ha perdut.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Crea el perfil amb l’opció per a tots els usuaris quan l’hagi de fer servir cada compte de la màquina. El llistat també mostra el mètode d’autenticació al costat de cada nom, cosa que estreny la investigació de seguida. L’àmbit decideix on viu la configuració; no converteix la connexió en un túnel de dispositiu ni comparteix la credencial d’un usuari amb tothom. També interactua amb l’inici, perquè un compte de servei que es connecta en arrencar no veu un perfil creat en un magatzem d’usuari.

Potser l’assistent no va escriure mai el mètode

L’assistent de l’IKEv2 té una aresta aspra de fa molt temps. Seleccionar l’autenticació amb nom d’usuari i contrasenya no sempre es desa, i la visita següent a l’assistent torna a presentar l’entrada genèrica. El valor desat és el que consulta el client en connectar-se, així que un mètode absent sembla exactament una contrasenya absent. El que queda és un perfil sense mètode d’autenticació, que deixa un secret desat sense res a què lligar-se.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

Fixar el mètode explícitament evita del tot el diàleg, i tornar a llegir el valor demostra què s’ha escrit. Un valor que reverteix sol significa que una altra cosa reescriu el perfil.

Confirma-ho amb un tancament de sessió, no amb una reconnexió

Reconnectar-se dins d’una mateixa sessió reutilitza un estat que un inici de sessió real reconstrueix, així que pot amagar del tot un problema de magatzem. Tanca la sessió, torna a entrar-hi i inicia la connexió mentre mires si s’ofereix o es demana una credencial. Després torna a executar els llistats, perquè el perfil hauria d’aparèixer al magatzem que esperes i el mètode hauria de ser encara el que has fixat. Un reintent dins de la mateixa sessió només demostra que la credencial en memòria cau encara era a la memòria.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Si l’avís torna igualment, el candidat restant és el mètode mateix, o bé una actualització de política ha restaurat en silenci la restricció original. Comprova aquests dos abans de reinstal·lar un client que no hi tenia res a veure. Tots dos deixen la seva pròpia traça a la sortida del llistat.

Anota la causa que has canviat i l’evidència que l’ha confirmada. Una actualització del perfil pot fer tornar la caixa buida, i la nota és el que fa barata la repetició.