Per què Windows ofereix la contrasenya de la VPN a un servidor de fitxers

Windows pot aixecar un túnel i després oferir el mateix compte a un servidor de fitxers que no n'ha sentit a parlar mai. La passarel·la va acceptar l'inici de sessió; el recurs compartit no, i tornar a escriure la contrasenya no canvia res. Desactivar l'emmagatzematge de credencials per a tot l'ordinador sembla la solució i no ho és. Una connexió RAS nativa porta un commutador per perfil que expressa exactament aquesta intenció.

Identifiqueu quin compte ha estat rebutjat

Llegiu el missatge en lloc de descartar-lo. El nom del servidor al diàleg, el domini imprès al costat del nom d'usuari i si el missatge va arribar abans o després de formar-se el túnel assenyalen cadascun a un lloc diferent. Una fallada que anomena un recurs compartit no és la mateixa que una que anomena un amfitrió.

Confirmeu que el recurs respon, si més no, abans de discutir sobre la identitat. Una ruta absent, una errata al nom del servidor i un compte sense permisos de compartició produeixen tres símptomes diferents, i només l'últim afecta la identitat que Windows va oferir. Comproveu si el compte rebutjat és el compte de la passarel·la. Si l'inici de sessió de la VPN és una identitat d'accés remot propietat de la passarel·la i no un compte de directori, el servidor de fitxers no té cap motiu per reconèixer-lo, i tornar a escriure la mateixa contrasenya només repeteix el mateix rebuig. Aquesta distinció decideix si la secció següent us afecta o no.

Definiu UseRasCredentials en un perfil

El camp és UseRasCredentials, i un valor de zero impedeix que aquesta connexió ofereixi les seves credencials RAS als recursos de xarxa. El canvi queda limitat a un perfil, i aquest és precisament el punt: té un sol significat documentat i no toca res més de la màquina.

La política de seguretat que bloqueja les credencials desades per a l'autenticació de xarxa fa el contrari: s'aplica a totes les connexions de l'ordinador. Fer-la servir aquí canviaria el comportament de tots els recursos que l'usuari obri la setmana que ve, i per això queda fora d'aquesta reparació. UseRasCredentials també és una característica de RAS, així que un client de tercers amb la seva pròpia gestió de credencials l'ignorarà. Per a aquests clients, la documentació del proveïdor és l'única autoritat sobre si el comportament es pot canviar. Comproveu quin client posseeix la connexió abans d'editar un fitxer que aquest client no llegeix mai.

Editeu la llibreta de telèfons que posseeix la connexió

Trobeu la llibreta de telèfons que posseeix la connexió abans d'obrir un editor. Una connexió creada per l'usuari viu a la ruta de dades d'aplicacions itinerants, i una creada per a tots els usuaris viu sota el directori de dades de programes; els dos fitxers són independents. Editar el que no toca no canvia res, i la fallada sembla idèntica després.

Enumereu les dues ubicacions i confirmeu la ruta completa del fitxer que voleu editar. Un fitxer sota el perfil equivocat s'ignorarà encara que el canvieu correctament, i la segona fallada sembla exactament la primera.

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

Dins de la secció que porta el nom exacte de la connexió, el commutador és una línia. Canvieu només aquest valor i deixeu cada altra secció com era.

UseRasCredentials=1   becomes   UseRasCredentials=0

Una substitució a tot el fitxer per a cada connexió de la llibreta de telèfons no és un canvi d'un sol perfil, i surt a la llum setmanes després quan algú depura un túnel no relacionat. Manteniu la còpia de seguretat al costat del fitxer fins que el canvi s'hagi verificat. Si el dispositiu és gestionat, el desplegament propietari és on s'ha de canviar el paràmetre, no un fitxer sota el perfil d'usuari. Les versions de Windows compatibles exposen un equivalent per perfil a través del proveïdor de servei de configuració VPNv2, i cal comprovar-ne els requisits de versió per separat dels del proveïdor en conjunt.

Verifiqueu amb un intent nou

Desconnecteu-vos, tanqueu la sessió que estava oberta i torneu-ho a provar. Una unitat assignada existent o un identificador de fitxer obert poden continuar utilitzant la identitat amb què ja s'han autenticat, així que res que funcioni a través d'una sessió antiga no demostra res sobre el canvi. Confirmeu primer el valor editat, amb prou context per mostrar la secció a la qual pertany.

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

Després confirmeu quina identitat ha rebut realment el recurs. Un recurs compartit que encara refusa l'accés amb el compte correcte és un problema d'autorització, i el registre del mateix servidor de fitxers és on viu aquesta resposta. La descripció documentada d'aquest paràmetre cobreix el desplegament en què la identitat de la VPN difereix de la identitat del directori, i val la pena llegir-la abans de suposar que el camp s'aplica al vostre client. Anoteu el canvi, la ruta de la llibreta de telèfons i el compte que el recurs veu ara, perquè la propera persona que hi topi comença des de la mateixa confusió.