Por qué Windows te pide la contraseña de la VPN una y otra vez

La contraseña está guardada, la casilla está marcada y la siguiente conexión vuelve a pedir la credencial. Ese bucle tiene tres causas posibles en Windows: una directiva de todo el equipo que prohíbe guardar, un perfil que vive en un almacén distinto de la cuenta que lo usa, o un método de autenticación que el asistente de perfiles nunca anotó. Cada una se arregla en otro sitio, y cambiar la equivocada produce la reconfortante impresión de avanzar mientras la casilla sigue vacía. Nombrar primero la causa es lo que convierte el bucle en una comprobación de dos minutos.

Una directiva del equipo puede prohibir guardar

Un solo valor en la configuración del servicio de acceso remoto puede desactivar el guardado de credenciales para todo el equipo. Mientras está activo, marcar la casilla no cambia nada, porque el cliente no tiene dónde poner el secreto. Por eso el siguiente intento empieza con un campo vacío, y ningún ajuste a nivel de perfil puede anularlo. Esto es lo primero que hay que leer, porque es la única de las tres causas que afecta a todas las cuentas a la vez.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Lee el valor antes de reconstruir la conexión y trata un equipo configurado así como algo deliberado y no como algo roto: cero es el estado normal y uno bloquea el guardado para cada perfil del equipo. En un dispositivo gestionado, pide al propietario de la directiva que la cambie en lugar de editar el registro con tu propia cuenta. Una actualización restaurará el valor antiguo en una semana, y el usuario concluirá que la solución nunca funcionó. Por eso una edición local parece un fracaso más tarde. Pregunta si la restricción es intencionada antes de luchar contra ella.

El perfil puede estar en el otro almacén

Windows guarda una libreta de teléfonos por cuenta y otra para todo el equipo, y una conexión creada en la primera es invisible para la segunda. El síntoma es una conexión que falta o un aviso que nunca ofrece la credencial guardada. Listar ambos ámbitos cuesta una orden cada uno y resuelve la cuestión en segundos. Hazlo antes de decidir que la credencial se ha perdido.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Crea el perfil con la opción para todos los usuarios cuando tenga que usarlo cada cuenta del equipo. El listado también muestra el método de autenticación junto a cada nombre, lo que estrecha la investigación de inmediato. El ámbito decide dónde vive la configuración; no convierte la conexión en un túnel de dispositivo ni comparte la credencial de un usuario con todos. También interactúa con el inicio, porque una cuenta de servicio que marca al arrancar no ve un perfil creado en un almacén de usuario.

El asistente puede no haber anotado nunca el método

El asistente de IKEv2 tiene una arista áspera desde hace mucho tiempo. Seleccionar la autenticación con nombre de usuario y contraseña no siempre se guarda, y la siguiente visita al asistente vuelve a presentar la entrada genérica. El valor guardado es lo que consulta el cliente al conectar, así que un método ausente parece exactamente una contraseña ausente. Lo que queda es un perfil sin método de autenticación, lo que deja un secreto guardado sin nada a lo que vincularse.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

Fijar el método de forma explícita evita el diálogo por completo, y volver a leer el valor demuestra qué se escribió. Un valor que revierte solo significa que otra cosa está reescribiendo el perfil.

Confírmalo cerrando sesión, no reconectando

Reconectar dentro de una misma sesión reutiliza un estado que un inicio de sesión real reconstruye, así que puede ocultar por completo un problema de almacén. Cierra la sesión, vuelve a entrar e inicia la conexión mientras observas si se ofrece o se pide una credencial. Después ejecuta los listados otra vez, porque el perfil debería aparecer en el almacén que esperas y el método debería seguir siendo el que fijaste. Un reintento en la misma sesión solo demuestra que la credencial en caché seguía en memoria.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Si el aviso vuelve igualmente, el candidato restante es el propio método, o una actualización de directiva ha restaurado en silencio la restricción original. Comprueba esos dos antes de reinstalar un cliente que nunca estuvo implicado. Ambos dejan su propia huella en la salida del listado.

Anota la causa que cambiaste y la evidencia que la confirmó. Una actualización del perfil puede devolver el cuadro vacío, y la nota es lo que hace barata la repetición.