Pourquoi Windows offre le mot de passe VPN à un serveur de fichiers

Windows peut monter un tunnel puis proposer le même compte à un serveur de fichiers qui n’en a jamais entendu parler. La passerelle a accepté la connexion ; le partage non, et retaper le mot de passe ne change rien. Désactiver le stockage des informations d’identification pour tout l’ordinateur ressemble à la solution et n’en est pas une. Une connexion RAS native porte un commutateur par profil qui exprime exactement cette intention.

Identifier quel compte a été refusé

Lisez l’invite au lieu de la fermer. Le nom du serveur dans la boîte de dialogue, le domaine imprimé à côté du nom d’utilisateur et le moment où l’invite est arrivée, avant ou après la formation du tunnel, pointent chacun vers un endroit différent. Un échec qui nomme un partage n’est pas le même qu’un échec qui nomme un hôte.

Confirmez d’abord que la ressource répond, avant de discuter de l’identité. Une route absente, une faute de frappe dans le nom du serveur et un compte sans autorisations de partage produisent trois symptômes différents, et seul le dernier concerne l’identité proposée par Windows. Vérifiez si le compte refusé est le compte de la passerelle. Si la connexion VPN est une identité d’accès distant détenue par la passerelle plutôt qu’un compte d’annuaire, le serveur de fichiers n’a aucune raison de la reconnaître, et retaper le même mot de passe ne fait que répéter le même refus. Cette distinction décide si la section suivante vous concerne.

Définir UseRasCredentials sur un profil

Le champ est UseRasCredentials, et une valeur nulle empêche cette connexion d’offrir ses informations d’identification RAS aux ressources réseau. La modification est limitée à un profil, et c’est tout l’intérêt : elle a une seule signification documentée et ne touche à rien d’autre sur la machine.

La stratégie de sécurité qui bloque les informations d’identification stockées pour l’authentification réseau fait l’inverse et s’applique à toutes les connexions de l’ordinateur. L’utiliser ici modifierait le comportement de chaque ressource que l’utilisateur ouvrira la semaine prochaine, et c’est pourquoi elle reste en dehors de cette réparation. UseRasCredentials est aussi une fonctionnalité RAS, donc un client tiers doté de sa propre gestion des informations d’identification l’ignorera. Pour ces clients, la documentation de l’éditeur est la seule autorité pour savoir si le comportement peut être modifié. Vérifiez quel client possède la connexion avant de modifier un fichier que ce client ne lit jamais.

Modifier le carnet d’adresses qui possède la connexion

Trouvez le carnet d’adresses qui possède la connexion avant d’ouvrir un éditeur. Une connexion créée par l’utilisateur vit dans le chemin des données d’application itinérantes, et une connexion créée pour tous les utilisateurs sous le répertoire des données de programme ; les deux fichiers sont indépendants. Modifier le mauvais ne change rien, et l’échec semble identique ensuite.

Listez les deux emplacements et confirmez le chemin complet du fichier que vous voulez modifier. Un fichier sous le mauvais profil sera ignoré même après une modification correcte, et le second échec ressemble exactement au premier.

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

À l’intérieur de la section qui porte le nom exact de la connexion, le commutateur tient sur une ligne. Ne changez que cette valeur et laissez toutes les autres sections telles quelles.

UseRasCredentials=1   becomes   UseRasCredentials=0

Un remplacement sur tout le fichier pour chaque connexion du carnet n’est pas une modification d’un seul profil, et il ressort des semaines plus tard quand quelqu’un débogue un tunnel sans rapport. Gardez la sauvegarde à côté du fichier jusqu’à ce que la modification soit vérifiée. Si l’appareil est géré, c’est dans le déploiement propriétaire que le réglage doit changer, pas dans un fichier sous le profil utilisateur. Les versions de Windows prises en charge exposent un équivalent par profil via le fournisseur de services de configuration VPNv2, et ses exigences de version doivent être vérifiées séparément de celles du fournisseur dans son ensemble.

Vérifier par une nouvelle tentative

Déconnectez-vous, fermez la session qui était ouverte et réessayez. Un lecteur mappé existant ou un handle de fichier ouvert peut continuer d’utiliser l’identité avec laquelle il s’est déjà authentifié, donc rien de ce qui fonctionne via une ancienne session ne prouve quoi que ce soit sur la modification. Confirmez d’abord la valeur modifiée, avec assez de contexte pour montrer la section à laquelle elle appartient.

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

Confirmez ensuite quelle identité la ressource a réellement reçue. Un partage qui refuse encore l’accès avec le bon compte est un problème d’autorisation, et le journal du serveur de fichiers lui-même est là où se trouve cette réponse. La description documentée de ce paramètre couvre le déploiement où l’identité VPN diffère de l’identité d’annuaire, et il vaut la peine de la lire avant de supposer que le champ s’applique à votre client. Notez la modification, le chemin du carnet et le compte que la ressource voit désormais, car la prochaine personne qui y sera confrontée partira de la même confusion.