Miksi Windows kysyy yhä uudelleen VPN-salasanasi

Salasanasi on tallennettu, valintaruutu on merkitty, ja silti seuraava yhteys kysyy tunnistetietoja. Tällä silmukalla on Windowsissa kolme mahdollista syytä: tallentamisen kieltävä koneenlaajuinen käytäntö, profiili, joka sijaitsee eri säilössä kuin sitä käyttävä tili, tai todennusmenetelmä, jota profiilivelho ei koskaan kirjannut. Jokainen korjataan eri paikassa, ja väärän muuttaminen antaa lohdullisen vaikutelman edistymisestä, kun kenttä pysyy tyhjänä. Syyn nimeäminen ensin on se, mikä muuttaa silmukan kahden minuutin tarkistukseksi.

Koneen käytäntö voi kieltää tallentamisen

Yksi ainoa arvo Etäkäyttöpalvelun kokoonpanossa voi kytkeä tunnistetietojen tallentamisen pois koko tietokoneelta. Kun se on aktiivinen, ruudun merkitseminen ei muuta mitään, koska asiakasohjelmalla ei ole paikkaa salaisuudelle. Siksi seuraava yritys alkaa tyhjällä kentällä, eikä mikään profiilitason asetus voi ohittaa sitä. Tämä on ensimmäinen luettava asia, koska se on ainoa kolmesta syystä, joka vaikuttaa kaikkiin tileihin kerralla.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Lue arvo ennen kuin rakennat yhteyden uudelleen, ja kohtele näin asetettua konetta tarkoituksellisena, älä rikkinäisenä: nolla on normaali tila ja yksi estää tallentamisen jokaiselta koneen profiililta. Hallinnoidulla laitteella pyydä käytännön omistajaa muuttamaan se sen sijaan, että muokkaisit rekisteriä omalla tililläsi. Yksi päivitys palauttaa vanhan arvon viikon kuluessa, ja käyttäjä päättelee, ettei korjaus koskaan toiminut. Siksi paikallinen muutos näyttää myöhemmin epäonnistumiselta. Kysy, onko rajoitus tarkoituksellinen, ennen kuin taistelet sitä vastaan.

Profiili voi olla toisessa säilössä

Windows pitää yhden puhelinluettelon tiliä kohden ja yhden koko konetta varten, ja ensimmäisessä luotu yhteys on näkymätön toiselle. Oireena on puuttuva yhteys tai kehote, joka ei koskaan tarjoa tallennettua tunnistetietoa. Molempien laajuuksien listaaminen vaatii yhden komennon kumpaankin ja ratkaisee kysymyksen sekunneissa. Tee se ennen kuin päätät, että tunnistetieto on kadonnut.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Luo profiili kaikkien käyttäjien vaihtoehdolla, kun jokaisen koneen tilin on käytettävä sitä. Listaus näyttää myös todennusmenetelmän jokaisen nimen vieressä, mikä kaventaa tutkintaa heti. Laajuus päättää, missä kokoonpano asuu; se ei muuta yhteyttä laitetunneliksi eikä jaa yhden käyttäjän tunnistetietoa kaikille. Se vaikuttaa myös käynnistykseen, koska käynnistyksessä soittava palvelutili ei näe käyttäjäsäilöön luotua profiilia.

Velho ei ehkä koskaan kirjoittanut menetelmää

IKEv2-velhossa on pitkäaikainen karkea reuna. Käyttäjänimen ja salasanan todennuksen valitseminen ei aina tallennu, ja seuraava vierailu velhossa näyttää jälleen yleisen merkinnän. Tallennettu arvo on se, mitä asiakasohjelma tarkistaa yhdistäessään, joten puuttuva menetelmä näyttää täsmälleen puuttuvalta salasanalta. Jäljelle jää profiili ilman todennusmenetelmää, mikä jättää tallennetun salaisuuden ilman mitään mihin sitoa.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

Menetelmän nimenomainen asettaminen välttää valintaikkunan kokonaan, ja arvon takaisinlukeminen todistaa, mitä kirjoitettiin. Arvo, joka palautuu itsestään, tarkoittaa, että jokin muu kirjoittaa profiilin uudelleen.

Vahvista uloskirjautumisella, älä uudelleenyhdistämisellä

Uudelleenyhdistäminen saman istunnon sisällä käyttää tilaa, jonka todellinen kirjautuminen rakentaa uudelleen, joten se voi piilottaa säilöongelman täysin. Kirjaudu ulos, kirjaudu takaisin ja käynnistä yhteys ja seuraa, tarjotaanko tunnistetietoa vai pyydetäänkö sitä. Aja sitten listaukset uudelleen, koska profiilin pitäisi ilmestyä odottamaasi säilöön ja menetelmän pitäisi yhä olla asettamasi. Uusintayritys samassa istunnossa todistaa vain, että välimuistiin tallennettu tunnistetieto oli vielä muistissa.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Jos kehote silti palaa, jäljellä oleva ehdokas on itse menetelmä, tai käytännön päivitys on hiljaa palauttanut alkuperäisen rajoituksen. Tarkista ne kaksi ennen kuin asennat uudelleen asiakasohjelman, joka ei ollut koskaan osallisena. Molemmat jättävät oman jälkensä listauksen tulosteeseen.

Kirjaa muuttamasi syy ja todiste, joka sen vahvisti. Profiilin päivitys voi tuoda tyhjän kentän takaisin, ja juuri muistiinpano tekee toistamisesta halpaa.