Por qué Windows ofrece la contraseña de VPN a un servidor de archivos

Windows puede levantar un túnel y luego ofrecer la misma cuenta a un servidor de archivos que nunca ha oído hablar de ella. La puerta de enlace aceptó el inicio de sesión; el recurso compartido no, y volver a escribir la contraseña no cambia nada. Desactivar el almacenamiento de credenciales para todo el equipo parece la solución y no lo es. Una conexión RAS nativa lleva un conmutador por perfil que declara exactamente esta intención.

Identifique qué cuenta fue rechazada

Lea el aviso en lugar de descartarlo. El nombre del servidor en el diálogo, el dominio impreso junto al nombre de usuario y si el aviso llegó antes o después de formarse el túnel apuntan cada uno a un lugar distinto. Un fallo que nombra un recurso compartido no es el mismo que uno que nombra un equipo.

Confirme que el recurso responde siquiera antes de discutir sobre la identidad. Una ruta ausente, una errata en el nombre del servidor y una cuenta sin permisos de compartición producen tres síntomas distintos, y solo el último afecta a la identidad que Windows ofreció. Compruebe si la cuenta rechazada es la cuenta de la puerta de enlace. Si el inicio de sesión de VPN es una identidad de acceso remoto propiedad de la puerta de enlace y no una cuenta de directorio, el servidor de archivos no tiene motivo para reconocerla, y volver a escribir la misma contraseña solo repite el mismo rechazo. Esa distinción decide si la sección siguiente se aplica a su caso.

Defina UseRasCredentials en un perfil

El campo es UseRasCredentials, y un valor de cero impide que esa conexión ofrezca sus credenciales RAS a los recursos de red. El cambio queda limitado a un perfil, que es justo la cuestión: tiene un único significado documentado y no toca nada más del equipo.

La directiva de seguridad que bloquea las credenciales almacenadas para la autenticación de red hace lo contrario, ya que se aplica a todas las conexiones del equipo. Usarla aquí cambiaría el comportamiento de todos los recursos que el usuario abra la próxima semana, y por eso queda fuera de esta reparación. UseRasCredentials también es una característica de RAS, así que un cliente de terceros con su propia gestión de credenciales lo ignorará. Para esos clientes, la documentación del proveedor es la única autoridad sobre si el comportamiento puede cambiarse. Compruebe qué cliente posee la conexión antes de editar un archivo que ese cliente nunca lee.

Edite la libreta de teléfonos que posee la conexión

Encuentre la libreta de teléfonos que posee la conexión antes de abrir un editor. Una conexión creada por el usuario vive en la ruta de datos de aplicaciones móviles, y una creada para todos los usuarios vive bajo el directorio de datos de programas; los dos archivos son independientes. Editar el equivocado no cambia nada, y el fallo parece idéntico después.

Enumere ambas ubicaciones y confirme la ruta completa del archivo que pretende editar. Un archivo bajo el perfil equivocado se ignorará aunque lo cambie correctamente, y el segundo fallo se ve exactamente como el primero.

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

Dentro de la sección que lleva el nombre exacto de la conexión, el conmutador es una línea. Cambie solo ese valor y deje todas las demás secciones como estaban.

UseRasCredentials=1   becomes   UseRasCredentials=0

Una sustitución en todo el archivo para cada conexión de la libreta no es un cambio de un solo perfil, y aparece semanas después cuando alguien depura un túnel no relacionado. Mantenga la copia de seguridad junto al archivo hasta que el cambio esté verificado. Si el dispositivo está administrado, la implementación propietaria es donde debe cambiarse la configuración, no un archivo bajo el perfil del usuario. Las versiones compatibles de Windows exponen un equivalente por perfil mediante el proveedor de servicios de configuración VPNv2, y sus requisitos de versión deben comprobarse por separado de los del proveedor en conjunto.

Verifique con un intento nuevo

Desconéctese, cierre la sesión que estaba abierta y vuelva a intentarlo. Una unidad asignada existente o un controlador de archivo abierto pueden seguir usando la identidad con la que ya se autenticaron, así que nada que funcione a través de una sesión antigua demuestra nada sobre el cambio. Confirme primero el valor editado, con suficiente contexto para mostrar la sección a la que pertenece.

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

Después confirme qué identidad recibió realmente el recurso. Un recurso compartido que sigue negando el acceso con la cuenta correcta es un problema de autorización, y el registro del propio servidor de archivos es donde vive esa respuesta. La descripción documentada de esta configuración cubre la implementación en la que la identidad de VPN difiere de la identidad de directorio, y vale la pena leerla antes de suponer que el campo se aplica a su cliente. Anote el cambio, la ruta de la libreta de teléfonos y la cuenta que el recurso ve ahora, porque la siguiente persona que se tope con esto empieza desde la misma confusión.