Warum Windows das VPN-Passwort einem Dateiserver anbietet

Windows kann einen Tunnel aufbauen und dann dasselbe Konto einem Dateiserver anbieten, der davon nie gehört hat. Das Gateway nahm die Anmeldung an; die Freigabe nicht, und das Passwort erneut zu tippen ändert nichts. Die Anmeldedatenspeicherung für den ganzen Computer abzuschalten sieht wie die Lösung aus und ist keine. Eine native RAS-Verbindung trägt einen Schalter pro Profil, der genau diese Absicht ausdrückt.

Feststellen, welches Konto abgelehnt wurde

Lesen Sie die Aufforderung, statt sie wegzuklicken. Der Servername im Dialog, die neben dem Benutzernamen gedruckte Domäne und ob die Aufforderung vor oder nach dem Aufbau des Tunnels kam, deuten jeweils auf etwas anderes. Ein Fehler, der eine Freigabe nennt, ist nicht derselbe Fehler wie einer, der einen Host nennt.

Bestätigen Sie zuerst, dass die Ressource überhaupt antwortet, bevor Sie über Identität streiten. Eine fehlende Route, ein Tippfehler im Servernamen und ein Konto ohne Freigabeberechtigungen erzeugen drei verschiedene Symptome, und nur das letzte betrifft die Identität, die Windows anbot. Prüfen Sie, ob das abgelehnte Konto das Gateway-Konto ist. Wenn die VPN-Anmeldung eine vom Gateway verwaltete Fernzugriffsidentität und kein Verzeichniskonto ist, hat der Dateiserver keinen Grund, sie zu erkennen, und dasselbe Passwort erneut zu tippen wiederholt nur dieselbe Ablehnung. Diese Unterscheidung entscheidet, ob der nächste Abschnitt überhaupt für Sie gilt.

UseRasCredentials für ein Profil setzen

Das Feld heißt UseRasCredentials, und der Wert null hindert diese eine Verbindung daran, ihre RAS-Anmeldedaten Netzwerkressourcen anzubieten. Die Änderung ist auf ein Profil begrenzt, und genau darum geht es: Sie hat eine dokumentierte Bedeutung und berührt nichts anderes auf dem Rechner.

Die Sicherheitsrichtlinie, die gespeicherte Anmeldedaten für die Netzwerkauthentifizierung blockiert, tut das Gegenteil und gilt für jede Verbindung auf dem Computer. Sie hier einzusetzen würde das Verhalten für jede Ressource ändern, die der Benutzer nächste Woche öffnet, deshalb gehört sie nicht zu dieser Reparatur. UseRasCredentials ist ebenfalls eine RAS-Funktion, daher wird ein Drittanbieter-Client mit eigener Anmeldedatenverwaltung sie ignorieren. Für solche Clients ist die Herstellerdokumentation die einzige Autorität dazu, ob das Verhalten geändert werden kann. Prüfen Sie, welcher Client die Verbindung besitzt, bevor Sie eine Datei bearbeiten, die dieser Client nie liest.

Das Telefonbuch bearbeiten, dem die Verbindung gehört

Finden Sie das Telefonbuch, dem die Verbindung gehört, bevor Sie einen Editor öffnen. Eine vom Benutzer erstellte Verbindung liegt im Pfad für Roaming-Anwendungsdaten, eine für alle Benutzer erstellte unter dem Programmdatenverzeichnis; die beiden Dateien sind unabhängig. Die falsche zu bearbeiten ändert nichts, und der Fehler sieht danach identisch aus.

Listen Sie beide Speicherorte auf und bestätigen Sie den vollständigen Pfad der Datei, die Sie bearbeiten wollen. Eine Datei unter dem falschen Profil wird ignoriert, selbst nachdem Sie sie korrekt geändert haben, und der zweite Fehler sieht genau wie der erste aus.

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

Innerhalb des Abschnitts mit dem genauen Verbindungsnamen ist der Schalter eine Zeile. Ändern Sie nur diesen Wert und lassen Sie jeden anderen Abschnitt, wie er war.

UseRasCredentials=1   becomes   UseRasCredentials=0

Ein dateiweites Ersetzen über jede Verbindung im Telefonbuch ist keine Änderung eines einzelnen Profils und taucht Wochen später auf, wenn jemand einen unabhängigen Tunnel debuggt. Bewahren Sie die Sicherung neben der Datei auf, bis die Änderung überprüft ist. Ist das Gerät verwaltet, gehört die Einstellung in die besitzende Bereitstellung, nicht in eine Datei unter dem Benutzerprofil. Unterstützte Windows-Versionen bieten ein Äquivalent pro Profil über den Konfigurationsdienstanbieter VPNv2, und dessen Versionsanforderungen sind getrennt von denen des Anbieters insgesamt zu prüfen.

Mit einem neuen Versuch prüfen

Trennen Sie die Verbindung, schließen Sie die offene Sitzung und versuchen Sie es erneut. Ein vorhandenes zugeordnetes Laufwerk oder ein offenes Dateihandle kann die bereits authentifizierte Identität weiterverwenden, daher beweist nichts, was über eine alte Sitzung funktioniert, etwas über die Änderung. Bestätigen Sie zuerst den bearbeiteten Wert, mit genug Kontext, um den zugehörigen Abschnitt zu zeigen.

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

Bestätigen Sie dann, welche Identität die Ressource tatsächlich erhalten hat. Eine Freigabe, die mit dem richtigen Konto weiterhin den Zugriff verweigert, ist ein Autorisierungsproblem, und die Antwort steht im eigenen Protokoll des Dateiservers. Die dokumentierte Beschreibung dieser Einstellung deckt die Bereitstellung ab, in der die VPN-Identität von der Verzeichnisidentität abweicht, und ist lesenswert, bevor Sie annehmen, das Feld gelte für Ihren Client. Notieren Sie die Änderung, den Telefonbuchpfad und das Konto, das die Ressource jetzt sieht, denn die nächste Person, die darauf stößt, startet von derselben Verwirrung.