Hvorfor Windows tilbyder VPN-adgangskoden til en fileserver

Windows kan rejse en tunnel og derefter tilbyde den samme konto til en fileserver, der aldrig har hørt om den. Gatewayen accepterede login; delingen gjorde ikke, og at skrive adgangskoden igen ændrer intet. At slå lagring af legitimationsoplysninger fra for hele computeren ligner løsningen og er det ikke. En indbygget RAS-forbindelse har en kontakt pr. profil, der udtrykker netop denne hensigt.

Find ud af, hvilken konto der blev afvist

Læs opfordringen i stedet for at afvise den. Servernavnet i dialogen, domænet trykt ved siden af brugernavnet, og om opfordringen kom før eller efter tunnelen blev dannet, peger hver på noget forskelligt. En fejl, der nævner en deling, er ikke den samme fejl som en, der nævner en vært.

Bekræft, at ressourcen overhovedet svarer, før du diskuterer identitet. En manglende rute, en tastefejl i servernavnet og en konto uden dele-tilladelser giver tre forskellige symptomer, og kun det sidste handler om den identitet, Windows tilbød. Kontroller, om den afviste konto er gateway-kontoen. Hvis VPN-loginnet er en fjernadgangsidentitet ejet af gatewayen og ikke en katalogkonto, har fileserveren ingen grund til at genkende den, og at skrive den samme adgangskode igen gentager blot den samme afvisning. Den forskel afgør, om næste afsnit overhovedet gælder for dig.

Sæt UseRasCredentials på én profil

Feltet er UseRasCredentials, og en værdi på nul forhindrer den ene forbindelse i at tilbyde sine RAS-legitimationsoplysninger til netværksressourcer. Ændringen er begrænset til en profil, og det er netop pointen: den har én dokumenteret betydning og rører intet andet på maskinen.

Den sikkerhedspolitik, der blokerer gemte legitimationsoplysninger til netværksgodkendelse, gør det modsatte, idet den gælder for hver forbindelse på computeren. At bruge den her ville ændre adfærden for hver ressource, brugeren åbner i næste uge, og derfor hører den uden for denne reparation. UseRasCredentials er også en RAS-funktion, så en tredjepartsklient med sin egen håndtering af legitimationsoplysninger vil ignorere den. For de klienter er leverandørens dokumentation den eneste autoritet på, om adfærden kan ændres. Kontroller, hvilken klient der ejer forbindelsen, før du redigerer en fil, som den klient aldrig læser.

Rediger den telefonbog, der ejer forbindelsen

Find den telefonbog, der ejer forbindelsen, før du åbner en editor. En forbindelse oprettet af brugeren ligger i stien til roaming-programdata, og en oprettet for alle brugere ligger under programdata-mappen; de to filer er uafhængige. Redigering af den forkerte ændrer intet, og fejlen ser identisk ud bagefter.

List begge placeringer og bekræft den fulde sti til den fil, du vil redigere. En fil under den forkerte profil ignoreres, selv efter du har ændret den korrekt, og den anden fejl ser nøjagtig ud som den første.

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

Inde i det afsnit, der bærer det nøjagtige forbindelsesnavn, er kontakten én linje. Skift kun den værdi, og lad hvert andet afsnit være som det var.

UseRasCredentials=1   becomes   UseRasCredentials=0

En filomfattende erstatning for hver forbindelse i telefonbogen er ikke en enkeltprofilændring, og den dukker op uger senere, når nogen fejlretter en urelateret tunnel. Opbevar sikkerhedskopien ved siden af filen, indtil ændringen er verificeret. Hvis enheden administreres, er det i den ejende udrulning, indstillingen skal ændres, ikke i en fil under brugerprofilen. Understøttede Windows-versioner stiller en ækvivalent pr. profil til rådighed via konfigurationsserviceudbyderen VPNv2, og dens versionskrav skal kontrolleres separat fra udbyderens som helhed.

Verificer med et nyt forsøg

Afbryd forbindelsen, luk den session, der var åben, og prøv igen. Et eksisterende tilknyttet drev eller et åbent filhåndtag kan fortsætte med at bruge den identitet, det allerede er godkendt med, så intet, der virker gennem en gammel session, beviser noget om ændringen. Bekræft først den redigerede værdi med nok kontekst til at vise, hvilket afsnit den hører til.

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

Bekræft derefter, hvilken identitet ressourcen faktisk modtog. En deling, der stadig afviser adgang med den korrekte konto, er et autorisationsproblem, og fileserverens egen log er, hvor det svar findes. Den dokumenterede beskrivelse af denne indstilling dækker den udrulning, hvor VPN-identiteten afviger fra katalogidentiteten, og det er værd at læse, før du antager, at feltet gælder for din klient. Noter ændringen, telefonbogens sti og den konto, ressourcen nu ser, fordi den næste person, der rammer dette, starter fra den samme forvirring.