Pourquoi Windows redemande sans cesse votre mot de passe VPN

Votre mot de passe est enregistré, la case est cochée, et la connexion suivante demande quand même l’identifiant. Cette boucle a trois causes possibles sous Windows : une stratégie à l’échelle de la machine qui interdit l’enregistrement, un profil qui vit dans un autre magasin que le compte qui l’utilise, ou une méthode d’authentification que l’assistant de profil n’a jamais notée. Chacune se corrige ailleurs, et modifier la mauvaise donne l’impression rassurante d’avancer alors que la case reste vide. Nommer d’abord la cause, voilà ce qui transforme la boucle en vérification de deux minutes.

Une stratégie de machine peut interdire l’enregistrement

Une seule valeur dans la configuration du service d’accès distant peut désactiver l’enregistrement des identifiants pour tout l’ordinateur. Tant qu’elle est active, cocher la case ne change rien, car le client n’a nulle part où mettre le secret. La tentative suivante commence donc avec un champ vide, et aucun réglage au niveau du profil ne peut la contourner. C’est la première chose à lire, car c’est la seule des trois causes qui touche tous les comptes à la fois.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Lisez la valeur avant de reconstruire la connexion, et traitez une machine ainsi configurée comme volontaire plutôt que cassée : zéro est l’état normal et un bloque l’enregistrement pour chaque profil de la machine. Sur un appareil géré, demandez au propriétaire de la stratégie de la changer au lieu de modifier le registre sous votre propre compte. Une actualisation rétablira l’ancienne valeur en une semaine, et l’utilisateur conclura que le correctif n’a jamais fonctionné. C’est pourquoi une modification locale ressemble ensuite à un échec. Demandez si la restriction est voulue avant de vous battre contre elle.

Le profil peut se trouver dans l’autre magasin

Windows garde un carnet d’adresses par compte et un pour toute la machine, et une connexion créée dans le premier est invisible au second. Le symptôme est une connexion manquante ou une invite qui n’offre jamais l’identifiant enregistré. Lister les deux portées coûte une commande chacune et règle la question en quelques secondes. Faites-le avant de décider que l’identifiant est perdu.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Créez le profil avec l’option pour tous les utilisateurs quand chaque compte de la machine doit l’utiliser. La liste montre aussi la méthode d’authentification à côté de chaque nom, ce qui resserre aussitôt l’enquête. La portée décide où vit la configuration ; elle ne transforme pas la connexion en tunnel d’appareil et ne partage pas l’identifiant d’un utilisateur avec tout le monde. Elle joue aussi sur le démarrage, car un compte de service qui appelle au boot ne voit pas un profil créé dans un magasin d’utilisateur.

L’assistant n’a peut-être jamais écrit la méthode

L’assistant IKEv2 a un bord rugueux de longue date. La sélection de l’authentification par nom d’utilisateur et mot de passe n’est pas toujours enregistrée, et la visite suivante de l’assistant présente de nouveau l’entrée générique. La valeur enregistrée est ce que le client consulte au moment de la connexion, donc une méthode absente ressemble exactement à un mot de passe absent. Il reste un profil sans méthode d’authentification, ce qui laisse un secret enregistré sans rien à quoi le lier.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

Fixer la méthode explicitement évite entièrement la boîte de dialogue, et relire la valeur prouve ce qui a été écrit. Une valeur qui revient d’elle-même signifie que quelque chose d’autre réécrit le profil.

Confirmez par une déconnexion, pas par une reconnexion

Se reconnecter dans une même session réutilise un état qu’une vraie ouverture de session reconstruit, donc cela peut masquer complètement un problème de magasin. Déconnectez-vous, reconnectez-vous, et lancez la connexion en regardant si un identifiant est proposé ou demandé. Puis relancez les listes, car le profil devrait apparaître dans le magasin attendu et la méthode devrait rester celle que vous avez fixée. Un nouvel essai dans la même session prouve seulement que l’identifiant en cache était encore en mémoire.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Si l’invite revient quand même, le candidat restant est la méthode elle-même, ou une actualisation de stratégie a discrètement rétabli la restriction d’origine. Vérifiez ces deux points avant de réinstaller un client qui n’a jamais été en cause. Les deux laissent leur propre trace dans la sortie de la liste.

Notez la cause que vous avez changée et la preuve qui l’a confirmée. Une actualisation du profil peut faire revenir la case vide, et la note est ce qui rend la répétition bon marché.