Por que Windows che pide o contrasinal da VPN unha e outra vez

O contrasinal está gardado, a caixa está marcada e a seguinte conexión volve pedir a credencial. Ese bucle ten tres causas posibles en Windows: unha directiva de todo o equipo que prohibe gardar, un perfil que vive nun almacén distinto da conta que o usa, ou un método de autenticación que o asistente de perfís nunca anotou. Cada unha arranxase noutro sitio, e cambiar a equivocada produce a reconfortante impresión de avanzar mentres a caixa segue baleira. Nomear primeiro a causa é o que converte o bucle nunha comprobación de dous minutos.

Unha directiva do equipo pode prohibir gardar

Un só valor na configuración do servizo de acceso remoto pode desactivar o gardado de credenciais para todo o equipo. Mentres está activo, marcar a caixa non cambia nada, porque o cliente non ten onde poñer o segredo. Por iso o seguinte intento comeza cun campo baleiro, e ningún axuste a nivel de perfil pode anulalo. Isto é o primeiro que hai que ler, porque é a única das tres causas que afecta todas as contas á vez.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Le o valor antes de reconstruír a conexión e trata un equipo configurado así como algo deliberado e non como algo roto: cero é o estado normal e un bloquea o gardado para cada perfil do equipo. Nun dispositivo xestionado, pide ao propietario da directiva que a cambie en lugar de editar o rexistro coa túa propia conta. Unha actualización restaurará o valor antigo nunha semana, e o usuario concluirá que a solución nunca funcionou. Por iso unha edición local parece un fracaso máis tarde. Pregunta se a restrición é intencionada antes de loitar contra ela.

O perfil pode estar no outro almacén

Windows garda unha axenda de teléfonos por conta e outra para todo o equipo, e unha conexión creada na primeira é invisible para a segunda. O síntoma é unha conexión que falta ou un aviso que nunca ofrece a credencial gardada. Listar ambos os ámbitos custa unha orde cada un e resolve a cuestión en segundos. Faino antes de decidir que a credencial se perdeu.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Crea o perfil coa opción para todos os usuarios cando teña que usalo cada conta do equipo. A listaxe tamén mostra o método de autenticación xunto a cada nome, o que estreita a investigación de inmediato. O ámbito decide onde vive a configuración; non converte a conexión nun túnel de dispositivo nin comparte a credencial dun usuario con todos. Tamén interactúa co inicio, porque unha conta de servizo que marca ao arrancar non ve un perfil creado nun almacén de usuario.

O asistente pode non ter anotado nunca o método

O asistente de IKEv2 ten unha aresta áspera desde hai moito tempo. Seleccionar a autenticación con nome de usuario e contrasinal non sempre se garda, e a seguinte visita ao asistente volve presentar a entrada xenérica. O valor gardado é o que consulta o cliente ao conectar, así que un método ausente parece exactamente un contrasinal ausente. O que queda é un perfil sen método de autenticación, o que deixa un segredo gardado sen nada ao que vincularse.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

Fixar o método de forma explícita evita o diálogo por completo, e volver ler o valor demostra que se escribiu. Un valor que reverte só significa que outra cousa está a reescribir o perfil.

Confírmalo pechando a sesión, non reconectando

Reconectar dentro dunha mesma sesión reutiliza un estado que un inicio de sesión real reconstrúe, así que pode ocultar por completo un problema de almacén. Pecha a sesión, volve entrar e inicia a conexión mentres observas se se ofrece ou se pide unha credencial. Despois executa as listaxes outra vez, porque o perfil debería aparecer no almacén que esperas e o método debería seguir sendo o que fixaches. Un novo intento na mesma sesión só demostra que a credencial na caché seguía en memoria.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Se o aviso volve igualmente, o candidato restante é o propio método, ou unha actualización de directiva restaurou en silencio a restrición orixinal. Comproba eses dous antes de reinstalar un cliente que nunca estivo implicado. Ambos deixan a súa propia pegada na saída da listaxe.

Anota a causa que cambiaste e a evidencia que a confirmou. Unha actualización do perfil pode devolver a caixa baleira, e a nota é o que fai barata a repetición.