Hvorfor Windows bliver ved med at spørge om din VPN-adgangskode

Din adgangskode er gemt, afkrydsningsfeltet er markeret, og den næste forbindelse spørger alligevel efter legitimationsoplysningerne. Den løkke har tre mulige årsager på Windows: en politik for hele maskinen, der forbyder lagring, en profil, der ligger i et andet arkiv end den konto, der bruger den, eller en godkendelsesmetode, som profilguiden aldrig skrev ned. Hver af dem rettes et andet sted, og at ændre den forkerte giver et beroligende indtryk af fremskridt, mens feltet forbliver tomt. Det er navngivningen af årsagen først, der gør løkken til et tjek på to minutter.

En maskinpolitik kan forbyde lagring

En enkelt værdi i konfigurationen af Fjernadgangstjenesten kan slå lagring af legitimationsoplysninger fra for hele computeren. Mens den er aktiv, ændrer markeringen af feltet intet, fordi klienten ikke har noget sted at lægge hemmeligheden. Det næste forsøg starter derfor med et tomt felt, og ingen indstilling på profolniveau kan tilsidesætte det. Det er den første ting, der skal læses, fordi det er den eneste af de tre årsager, der rammer alle konti på én gang.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Læs værdien, før du genopbygger forbindelsen, og betragt en maskine, der er sat sådan op, som tilsigtet frem for i stykker: nul er den normale tilstand, og et blokerer lagring for hver profil på maskinen. På en administreret enhed bør du bede politikkens ejer om at ændre den i stedet for at redigere registreringsdatabasen under din egen konto. En opdatering gendanner den gamle værdi inden for en uge, og brugeren vil konkludere, at rettelsen aldrig virkede. Det er derfor, en lokal ændring senere ser ud som en fiasko. Spørg, om begrænsningen er tilsigtet, før du kæmper imod den.

Profilen kan ligge i det andet arkiv

Windows holder én telefonbog for hver konto og én for hele maskinen, og en forbindelse, der er oprettet i den første, er usynlig for den anden. Symtomet er en manglende forbindelse eller en prompt, der aldrig tilbyder den gemte legitimationsoplysning. At liste begge omfang tager én kommando hver og afgør spørgsmålet på sekunder. Gør det, før du beslutter, at oplysningen er tabt.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Opret profilen med indstillingen for alle brugere, når hver konto på maskinen skal bruge den. Listen viser også godkendelsesmetoden ved siden af hvert navn, hvilket straks indsnævrer undersøgelsen. Omfanget bestemmer, hvor konfigurationen bor; det gør ikke forbindelsen til en enhedstunnel eller deler én brugers legitimationsoplysning med alle. Det spiller også sammen med opstart, fordi en tjenestekonto, der ringer op ved boot, ikke kan se en profil, der er oprettet i et brugerarkiv.

Guiden har måske aldrig skrevet metoden

IKEv2-guiden har en gammel ru kant. Valg af godkendelse med brugernavn og adgangskode bliver ikke altid gemt, og det næste besøg i guiden viser igen den generiske post. Den gemte værdi er det, klienten konsulterer ved forbindelse, så en manglende metode ser præcis ud som en manglende adgangskode. Det, der er tilbage, er en profil uden godkendelsesmetode, hvilket efterlader en gemt hemmelighed uden noget at binde den til.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

At sætte metoden eksplicit undgår dialogen helt, og at læse værdien tilbage beviser, hvad der blev skrevet. En værdi, der vender tilbage af sig selv, betyder, at noget andet omskriver profilen.

Bekræft med en logud, ikke en genopkobling

Genopkobling inden for samme session genbruger tilstand, som et rigtigt login genopbygger, så det kan skjule et arkivproblem helt. Log af, log på igen, og start forbindelsen, mens du ser, om en legitimationsoplysning bliver tilbudt eller efterspurgt. Kør derefter listerne igen, fordi profilen bør dukke op i det arkiv, du forventer, og metoden bør stadig være den, du satte. Et nyt forsøg i samme session beviser kun, at den cachelagrede oplysning stadig var i hukommelsen.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Hvis prompten alligevel vender tilbage, er den resterende kandidat metoden selv, eller en politikopdatering har stille gendannet den oprindelige begrænsning. Tjek de to, før du geninstallerer en klient, der aldrig var involveret. Begge efterlader deres eget spor i listens output.

Notér den årsag, du ændrede, og det bevis, der bekræftede den. En profilopdatering kan bringe det tomme felt tilbage, og noten er det, der gør gentagelsen billig.