Γιατί τα Windows ζητούν ξανά και ξανά τον κωδικό VPN

Ο κωδικός σας είναι αποθηκευμένος, το πλαίσιο είναι τσεκαρισμένο, και η επόμενη σύνδεση ζητά ξανά τα διαπιστευτήρια. Αυτός ο βρόχος έχει τρεις πιθανές αιτίες στα Windows: μια πολιτική για όλο τον υπολογιστή που απαγορεύει την αποθήκευση, ένα προφίλ που ζει σε διαφορετικό χώρο από τον λογαριασμό που το χρησιμοποιεί, ή μια μέθοδο ελέγχου ταυτότητας που ο οδηγός προφίλ δεν κατέγραψε ποτέ. Κάθε μία διορθώνεται αλλού, και η αλλαγή της λάθος αιτίας δίνει την καθησυχαστική εντύπωση προόδου ενώ το πεδίο μένει κενό. Το να ονομάσετε πρώτα την αιτία είναι αυτό που μετατρέπει τον βρόχο σε έλεγχο δύο λεπτών.

Μια πολιτική του υπολογιστή μπορεί να απαγορεύσει την αποθήκευση

Μία μόνο τιμή στη ρύθμιση της Υπηρεσίας Απομακρυσμένης Πρόσβασης μπορεί να απενεργοποιήσει την αποθήκευση διαπιστευτηρίων για ολόκληρο τον υπολογιστή. Όσο είναι ενεργή, το τσεκάρισμα του πλαισίου δεν αλλάζει τίποτα, γιατί ο πελάτης δεν έχει πού να βάλει το μυστικό. Έτσι η επόμενη προσπάθεια ξεκινά με κενό πεδίο, και καμία ρύθμιση σε επίπεδο προφίλ δεν μπορεί να την υπερκεράσει. Αυτό είναι το πρώτο που πρέπει να διαβαστεί, γιατί είναι η μόνη από τις τρεις αιτίες που επηρεάζει όλους τους λογαριασμούς ταυτόχρονα.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Διαβάστε την τιμή πριν ξαναχτίσετε τη σύνδεση, και θεωρήστε έναν υπολογιστή ρυθμισμένο έτσι σκόπιμο και όχι χαλασμένο: το μηδέν είναι η κανονική κατάσταση και το ένα μπλοκάρει την αποθήκευση για κάθε προφίλ στον υπολογιστή. Σε διαχειριζόμενη συσκευή, ζητήστε από τον κάτοχο της πολιτικής να την αλλάξει αντί να επεξεργαστείτε το μητρώο κάτω από τον δικό σας λογαριασμό. Μια ανανέωση θα επαναφέρει την παλιά τιμή μέσα σε μια εβδομάδα, και ο χρήστης θα συμπεράνει ότι η διόρθωση δεν δούλεψε ποτέ. Γι’ αυτό μια τοπική αλλαγή φαίνεται αργότερα σαν αποτυχία. Ρωτήστε αν ο περιορισμός είναι σκόπιμος πριν παλέψετε μαζί του.

Το προφίλ μπορεί να βρίσκεται στον άλλο χώρο

Τα Windows κρατούν έναν τηλεφωνικό κατάλογο ανά λογαριασμό και έναν για όλο τον υπολογιστή, και μια σύνδεση που δημιουργήθηκε στον πρώτο είναι αόρατη στον δεύτερο. Το σύμπτωμα είναι μια σύνδεση που λείπει ή μια προτροπή που δεν προσφέρει ποτέ το αποθηκευμένο διαπιστευτήριο. Η καταγραφή και των δύο πεδίων απαιτεί μία εντολή για το καθένα και λύνει το ζήτημα σε δευτερόλεπτα. Κάντε το πριν αποφασίσετε ότι το διαπιστευτήριο χάθηκε.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Δημιουργήστε το προφίλ με την επιλογή για όλους τους χρήστες όταν πρέπει να το χρησιμοποιεί κάθε λογαριασμός στον υπολογιστή. Η λίστα δείχνει επίσης τη μέθοδο ελέγχου ταυτότητας δίπλα σε κάθε όνομα, κάτι που στενεύει αμέσως την έρευνα. Το πεδίο εφαρμογής καθορίζει πού ζει η ρύθμιση· δεν μετατρέπει τη σύνδεση σε σήραγγα συσκευής ούτε μοιράζει το διαπιστευτήριο ενός χρήστη με όλους. Επηρεάζει επίσης την εκκίνηση, γιατί ένας λογαριασμός υπηρεσίας που καλεί κατά την εκκίνηση δεν βλέπει προφίλ που δημιουργήθηκε σε χώρο χρήστη.

Ο οδηγός μπορεί να μην έγραψε ποτέ τη μέθοδο

Ο οδηγός IKEv2 έχει μια παλιά τραχιά γωνία. Η επιλογή ελέγχου ταυτότητας με όνομα χρήστη και κωδικό δεν αποθηκεύεται πάντα, και η επόμενη επίσκεψη στον οδηγό παρουσιάζει ξανά τη γενική καταχώριση. Η αποθηκευμένη τιμή είναι αυτό που συμβουλεύεται ο πελάτης κατά τη σύνδεση, οπότε μια μέθοδος που λείπει μοιάζει ακριβώς με κωδικό που λείπει. Αυτό που μένει είναι ένα προφίλ χωρίς μέθοδο ελέγχου ταυτότητας, το οποίο αφήνει ένα αποθηκευμένο μυστικό χωρίς τίποτα να δεθεί πάνω του.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

Η ρητή ρύθμιση της μεθόδου αποφεύγει εντελώς τον διάλογο, και η ανάγνωση της τιμής πίσω αποδεικνύει τι γράφτηκε. Μια τιμή που επανέρχεται μόνη της σημαίνει ότι κάτι άλλο ξαναγράφει το προφίλ.

Επιβεβαιώστε με αποσύνδεση, όχι με επανασύνδεση

Η επανασύνδεση μέσα σε μία συνεδρία επαναχρησιμοποιεί κατάσταση που μια πραγματική σύνδεση ξαναχτίζει, οπότε μπορεί να κρύψει εντελώς ένα πρόβλημα χώρου. Αποσυνδεθείτε, συνδεθείτε ξανά και ξεκινήστε τη σύνδεση παρακολουθώντας αν προσφέρεται ή ζητείται διαπιστευτήριο. Στη συνέχεια τρέξτε ξανά τις λίστες, γιατί το προφίλ πρέπει να εμφανιστεί στον χώρο που περιμένετε και η μέθοδος πρέπει να παραμείνει αυτή που ορίσατε. Μια νέα προσπάθεια στην ίδια συνεδρία αποδεικνύει μόνο ότι το διαπιστευτήριο στην προσωρινή μνήμη ήταν ακόμη στη μνήμη.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Αν η προτροπή επιστρέψει ούτως ή άλλως, ο εναπομένων υποψήφιος είναι η ίδια η μέθοδος, ή μια ανανέωση πολιτικής επανέφερε ήσυχα τον αρχικό περιορισμό. Ελέγξτε αυτά τα δύο πριν επανεγκαταστήσετε έναν πελάτη που δεν είχε καμία σχέση. Και τα δύο αφήνουν το δικό τους ίχνος στην έξοδο της λίστας.

Καταγράψτε την αιτία που αλλάξατε και την απόδειξη που την επιβεβαίωσε. Μια ανανέωση προφίλ μπορεί να φέρει πίσω το κενό πεδίο, και η σημείωση είναι αυτό που κάνει την επανάληψη φθηνή.