Proč Windows nabízí heslo VPN souborovému serveru

Windows umí navázat tunel a poté nabídnout stejný účet souborovému serveru, který o něm nikdy neslyšel. Brána přihlášení přijala; sdílený prostředek ne, a přepsání hesla nic nezmění. Vypnutí ukládání přihlašovacích údajů pro celý počítač vypadá jako řešení, ale není. Nativní připojení RAS nese přepínač pro jeden profil, který tento záměr vyjadřuje přesně.

Zjistěte, který účet byl odmítnut

Přečtěte si výzvu, místo abyste ji zavřeli. Název serveru v dialogu, doména vytištěná vedle uživatelského jména a to, zda výzva přišla před navázáním tunelu nebo po něm, ukazují každý na něco jiného. Selhání, které jmenuje sdílený prostředek, není totéž jako selhání, které jmenuje hostitele.

Než se budete hádat o identitě, potvrďte, že prostředek vůbec odpovídá. Chybějící trasa, překlep v názvu serveru a účet bez oprávnění ke sdílení dávají tři různé příznaky a jen poslední se týká identity, kterou Windows nabídl. Ověřte, zda odmítnutý účet je účtem brány. Pokud je přihlášení VPN identitou vzdáleného přístupu, kterou vlastní brána, a nikoli účtem z adresáře, souborový server nemá důvod ho rozpoznat, a přepsání stejného hesla jen opakuje stejné odmítnutí. Toto rozlišení rozhoduje, zda se vás následující část vůbec týká.

Nastavte UseRasCredentials pro jeden profil

Pole se jmenuje UseRasCredentials, a hodnota nula zabrání tomu, aby toto jediné připojení nabízelo své údaje RAS síťovým prostředkům. Změna je omezena na profil, a o to právě jde: má jeden dokumentovaný význam a ničeho jiného na stroji se nedotkne.

Bezpečnostní zásada, která blokuje uložené přihlašovací údaje pro síťové ověřování, dělá opak: platí pro každé připojení v počítači. Použít ji zde by změnilo chování u každého prostředku, který uživatel příští týden otevře, a proto zůstává mimo tuto opravu. UseRasCredentials je také funkcí RAS, takže klient třetí strany s vlastním zpracováním údajů ji bude ignorovat. Pro takové klienty je dokumentace dodavatele jedinou autoritou v tom, zda lze chování změnit. Ověřte, který klient připojení vlastní, než začnete upravovat soubor, který tento klient nikdy nečte.

Upravte telefonní seznam, který připojení vlastní

Než otevřete editor, najděte telefonní seznam, který připojení vlastní. Připojení vytvořené uživatelem žije v cestě k roamingovým datům aplikací, připojení vytvořené pro všechny uživatele pod adresářem dat programů; oba soubory jsou nezávislé. Úprava špatného nic nezmění a selhání pak vypadá stejně.

Vypište obě umístění a potvrďte úplnou cestu souboru, který chcete upravit. Soubor pod špatným profilem bude ignorován, i když ho správně změníte, a druhé selhání vypadá přesně jako první.

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

Uvnitř sekce s přesným názvem připojení je přepínač jediný řádek. Změňte jen tuto hodnotu a každou další sekci nechte, jak byla.

UseRasCredentials=1   becomes   UseRasCredentials=0

Náhrada v celém souboru pro všechna připojení v telefonním seznamu není změnou jednoho profilu a vynoří se za týdny, když někdo ladí nesouvisející tunel. Zálohu držte vedle souboru, dokud není změna ověřena. Pokud je zařízení spravováno, nastavení se má změnit v příslušném nasazení, ne v souboru pod profilem uživatele. Podporované verze Windows nabízejí ekvivalent pro jeden profil přes poskytovatele konfigurační služby VPNv2 a jeho požadavky na verzi je třeba ověřit odděleně od požadavků poskytovatele jako celku.

Ověřte novým pokusem

Odpojte se, zavřete relaci, která byla otevřená, a zkuste to znovu. Existující mapovaná jednotka nebo otevřený popisovač souboru může dál používat identitu, se kterou se už ověřil, takže cokoli, co funguje přes starou relaci, o změně nic nedokazuje. Nejprve potvrďte upravenou hodnotu, s dostatkem kontextu, aby bylo vidět, do které sekce patří.

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

Poté potvrďte, jakou identitu prostředek skutečně dostal. Sdílený prostředek, který i se správným účtem odmítá přístup, je problém autorizace a odpověď žije ve vlastním logu souborového serveru. dokumentovaný popis tohoto nastavení pokrývá nasazení, kde se identita VPN liší od identity adresáře, a vyplatí se ho přečíst, než budete předpokládat, že se pole vztahuje na vašeho klienta. Zapište změnu, cestu k telefonnímu seznamu a účet, který prostředek nyní vidí, protože další člověk, který na to narazí, začíná od stejného zmatku.