Por que Windows ofrece o contrasinal da VPN a un servidor de ficheiros

Windows pode levantar un túnel e despois ofrecer a mesma conta a un servidor de ficheiros que nunca oíu falar dela. A pasarela aceptou o inicio de sesión; o recurso compartido non, e volver escribir o contrasinal non cambia nada. Desactivar o almacenamento de credenciais para todo o ordenador parece a solución e non o é. Unha conexión RAS nativa leva un conmutador por perfil que declara exactamente esta intención.

Identifique que conta foi rexeitada

Lea o aviso en lugar de descartalo. O nome do servidor no diálogo, o dominio impreso xunto ao nome de usuario e se o aviso chegou antes ou despois de formarse o túnel apuntan cada un a un lugar distinto. Un fallo que nomea un recurso compartido non é o mesmo que un que nomea un equipo.

Confirme que o recurso responde antes de discutir sobre a identidade. Unha ruta ausente, unha errata no nome do servidor e unha conta sen permisos de compartición producen tres síntomas distintos, e só o último afecta a identidade que Windows ofreceu. Comprobe se a conta rexeitada é a conta da pasarela. Se o inicio de sesión da VPN é unha identidade de acceso remoto propiedade da pasarela e non unha conta de directorio, o servidor de ficheiros non ten motivo para recoñecela, e volver escribir o mesmo contrasinal só repite o mesmo rexeitamento. Esa distinción decide se a sección seguinte se aplica ao seu caso.

Defina UseRasCredentials nun perfil

O campo é UseRasCredentials, e un valor de cero impide que esa conexión ofreza as súas credenciais RAS aos recursos de rede. O cambio queda limitado a un perfil, que é xustamente a cuestión: ten un único significado documentado e non toca nada máis da máquina.

A política de seguridade que bloquea as credenciais gardadas para a autenticación de rede fai o contrario, xa que se aplica a todas as conexións do ordenador. Usala aquí cambiaría o comportamento de todos os recursos que o usuario abra a próxima semana, e por iso queda fóra desta reparación. UseRasCredentials tamén é unha característica de RAS, así que un cliente de terceiros coa súa propia xestión de credenciais ignorarao. Para eses clientes, a documentación do provedor é a única autoridade sobre se o comportamento pode cambiarse. Comprobe que cliente posúe a conexión antes de editar un ficheiro que ese cliente nunca le.

Edite a libreta de teléfonos que posúe a conexión

Atope a libreta de teléfonos que posúe a conexión antes de abrir un editor. Unha conexión creada polo usuario vive na ruta de datos de aplicacións itinerantes, e unha creada para todos os usuarios vive baixo o directorio de datos de programas; os dous ficheiros son independentes. Editar o equivocado non cambia nada, e o fallo parece idéntico despois.

Enumere ambas as localizacións e confirme a ruta completa do ficheiro que pretende editar. Un ficheiro baixo o perfil equivocado ignorarase aínda que o cambie correctamente, e o segundo fallo parece exactamente o primeiro.

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

Dentro da sección que leva o nome exacto da conexión, o conmutador é unha liña. Cambie só ese valor e deixe todas as demais seccións como estaban.

UseRasCredentials=1   becomes   UseRasCredentials=0

Unha substitución en todo o ficheiro para cada conexión da libreta non é un cambio dun só perfil, e aparece semanas despois cando alguén depura un túnel non relacionado. Manteña a copia de seguridade xunto ao ficheiro ata que o cambio estea verificado. Se o dispositivo está xestionado, a implantación propietaria é onde se debe cambiar a configuración, non un ficheiro baixo o perfil do usuario. As versións compatibles de Windows expoñen un equivalente por perfil mediante o provedor de servizos de configuración VPNv2, e os seus requisitos de versión deben comprobarse por separado dos do provedor no seu conxunto.

Verifique cun novo intento

Desconéctese, peche a sesión que estaba aberta e ténteo de novo. Unha unidade asignada existente ou un identificador de ficheiro aberto poden seguir usando a identidade coa que xa se autenticaron, así que nada que funcione a través dunha sesión antiga demostra nada sobre o cambio. Confirme primeiro o valor editado, con suficiente contexto para mostrar a sección á que pertence.

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

Despois confirme que identidade recibiu realmente o recurso. Un recurso compartido que segue negando o acceso coa conta correcta é un problema de autorización, e o rexistro do propio servidor de ficheiros é onde vive esa resposta. A descrición documentada desta configuración abrangue a implantación na que a identidade da VPN difire da identidade do directorio, e paga a pena lela antes de supor que o campo se aplica ao seu cliente. Anote o cambio, a ruta da libreta de teléfonos e a conta que o recurso ve agora, porque a próxima persoa que se atope con isto comeza desde a mesma confusión.