Warum Windows immer wieder nach dem VPN-Passwort fragt

Das Passwort ist gespeichert, das Kästchen ist gesetzt, und die nächste Verbindung fragt trotzdem nach den Anmeldeinformationen. Diese Schleife hat unter Windows drei mögliche Ursachen: eine rechnerweite Richtlinie, die das Speichern verbietet, ein Profil, das in einem anderen Speicher liegt als das Konto, das es nutzt, oder eine Anmeldemethode, die der Profilassistent nie festgehalten hat. Jede wird an anderer Stelle behoben, und die falsche zu ändern erzeugt den beruhigenden Eindruck von Fortschritt, während das Feld leer bleibt. Die Ursache zuerst zu benennen ist das, was aus der Schleife eine Prüfung von zwei Minuten macht.

Eine Rechnerrichtlinie kann das Speichern verbieten

Ein einziger Wert in der Konfiguration des Remotezugriffsdienstes kann das Speichern von Anmeldeinformationen für den gesamten Rechner abschalten. Solange er aktiv ist, ändert das Setzen des Häkchens nichts, weil der Client das Geheimnis nirgends ablegen kann. Der nächste Versuch beginnt daher mit einem leeren Feld, und keine Einstellung auf Profilebene kann das übergehen. Das ist das Erste, was man lesen sollte, denn es ist die einzige der drei Ursachen, die alle Konten gleichzeitig betrifft.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Lesen Sie den Wert, bevor Sie die Verbindung neu aufbauen, und behandeln Sie einen so eingerichteten Rechner als absichtlich statt als defekt: null ist der normale Zustand, und eins blockiert das Speichern für jedes Profil auf dem Rechner. Auf einem verwalteten Gerät bitten Sie den Eigentümer der Richtlinie um eine Änderung, statt die Registrierung unter Ihrem eigenen Konto zu bearbeiten. Eine Aktualisierung stellt den alten Wert binnen einer Woche wieder her, und der Nutzer wird folgern, dass die Korrektur nie gewirkt hat. Deshalb sieht eine lokale Änderung später wie ein Fehlschlag aus. Fragen Sie, ob die Einschränkung gewollt ist, bevor Sie dagegen ankämpfen.

Das Profil kann im anderen Speicher liegen

Windows führt ein Telefonbuch je Konto und eines für den ganzen Rechner, und eine im ersten erstellte Verbindung ist für das zweite unsichtbar. Das Symptom ist eine fehlende Verbindung oder eine Aufforderung, die die gespeicherten Anmeldeinformationen nie anbietet. Beide Bereiche aufzulisten kostet je einen Befehl und klärt die Frage in Sekunden. Tun Sie das, bevor Sie entscheiden, dass die Anmeldeinformationen verloren sind.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Erstellen Sie das Profil mit der Option für alle Benutzer, wenn jedes Konto auf dem Rechner es nutzen muss. Die Auflistung zeigt auch die Anmeldemethode neben jedem Namen, was die Untersuchung sofort eingrenzt. Der Bereich entscheidet, wo die Konfiguration liegt; er macht die Verbindung nicht zu einem Gerätetunnel und teilt nicht die Anmeldeinformationen eines Nutzers mit allen. Er wirkt auch auf den Start, weil ein Dienstkonto, das beim Hochfahren wählt, ein im Benutzerspeicher erstelltes Profil nicht sieht.

Der Assistent hat die Methode womöglich nie geschrieben

Der Assistent für IKEv2 hat eine alte raue Kante. Die Auswahl der Anmeldung mit Benutzername und Passwort wird nicht immer gespeichert, und der nächste Besuch des Assistenten zeigt wieder den allgemeinen Eintrag. Der gespeicherte Wert ist das, was der Client beim Verbinden heranzieht, deshalb sieht eine fehlende Methode genau wie ein fehlendes Passwort aus. Übrig bleibt ein Profil ohne Anmeldemethode, was ein gespeichertes Geheimnis ohne etwas zum Anknüpfen zurücklässt.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

Die Methode ausdrücklich zu setzen umgeht den Dialog vollständig, und den Wert zurückzulesen beweist, was geschrieben wurde. Ein Wert, der von selbst zurückspringt, bedeutet, dass etwas anderes das Profil überschreibt.

Bestätigen Sie mit einer Abmeldung, nicht mit einer Neuverbindung

Ein erneutes Verbinden innerhalb einer Sitzung nutzt Zustand wieder, den eine echte Anmeldung neu aufbaut, deshalb kann es ein Speicherproblem vollständig verbergen. Melden Sie sich ab, wieder an, und starten Sie die Verbindung, während Sie beobachten, ob Anmeldeinformationen angeboten oder angefordert werden. Führen Sie dann die Auflistungen erneut aus, denn das Profil sollte in dem erwarteten Speicher erscheinen und die Methode sollte weiterhin die gesetzte sein. Ein neuer Versuch in derselben Sitzung beweist nur, dass die zwischengespeicherten Anmeldeinformationen noch im Speicher waren.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Kommt die Aufforderung trotzdem zurück, ist der verbleibende Kandidat die Methode selbst, oder eine Richtlinienaktualisierung hat die ursprüngliche Einschränkung still wiederhergestellt. Prüfen Sie diese beiden, bevor Sie einen Client neu installieren, der nie beteiligt war. Beide hinterlassen ihre eigene Spur in der Ausgabe der Auflistung.

Notieren Sie die geänderte Ursache und den Beleg, der sie bestätigt hat. Eine Profilaktualisierung kann das leere Feld zurückbringen, und die Notiz ist das, was die Wiederholung günstig macht.