למה Windows ממשיך לשאול את סיסמת ה-VPN שלך

הסיסמה שלך שמורה, התיבה מסומנת, והחיבור הבא עדיין מבקש את האישורים. ללופ הזה יש שלוש סיבות אפשריות ב-Windows: מדיניות ברמת המחשב שאוסרת שמירה, פרופיל שנמצא במאגר אחר מהחשבון שמשתמש בו, או שיטת אימות שהאשף לפרופילים מעולם לא רשם. כל אחת מתוקנת במקום אחר, ושינוי הסיבה הלא נכונה יוצר תחושה מרגיעה של התקדמות בזמן שהתיבה נשארת ריקה. לתת שם לסיבה קודם הוא מה שהופך את הלופ לבדיקה של שתי דקות.

מדיניות מחשב יכולה לאסור שמירה

ערך אחד בהגדרות שירות הגישה מרחוק יכול לכבות שמירת אישורים עבור המחשב כולו. כל עוד הוא פעיל, סימון התיבה לא משנה דבר, כי ללקוח אין מקום לשים את הסוד. לכן הניסיון הבא מתחיל בשדה ריק, ואף הגדרה ברמת הפרופיל לא יכולה לעקוף אותה. זה הדבר הראשון שכדאי לקרוא, כי זו הסיבה היחידה מבין השלוש שמשפיעה על כל החשבונות בבת אחת.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

קרא את הערך לפני שתבנה מחדש את החיבור, והתייחס למחשב שמוגדר כך כאל משהו מכוון ולא מקולקל: אפס הוא המצב הרגיל ואחת חוסם שמירה לכל פרופיל במחשב. במכשיר מנוהל, בקש מבעל המדיניות לשנות אותה במקום לערוך את הרישום תחת החשבון שלך. רענון אחד יחזיר את הערך הישן בתוך שבוע, והמשתמש יסיק שהתיקון מעולם לא עבד. זו הסיבה שעריכה מקומית נראית כמו כישלון מאוחר יותר. שאל אם ההגבלה מכוונת לפני שתיאבק בה.

ייתכן שהפרופיל נמצא במאגר האחר

Windows מחזיק ספר טלפונים אחד לכל חשבון ואחד עבור המחשב כולו, וחיבור שנוצר בראשון בלתי נראה לשני. הסימפטום הוא חיבור חסר או בקשה שלעולם לא מציעה את האישור השמור. רישום שני התחומים דורש פקודה אחת לכל אחד ומכריע בשאלה תוך שניות. עשה זאת לפני שתחליט שהאישור אבד.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

צור את הפרופיל עם האפשרות לכל המשתמשים כשכל חשבון במחשב צריך להשתמש בו. הרשימה גם מציגה את שיטת האימות לצד כל שם, מה שמצמצם מיד את החקירה. התחום קובע היכן ההגדרה גרה; הוא לא הופך את החיבור למנהרת מכשיר ולא משתף אישור של משתמש אחד עם כולם. הוא גם משפיע על האתחול, כי חשבון שירות שמחייג בעת עלייה לא רואה פרופיל שנוצר במאגר משתמש.

ייתכן שהאשף מעולם לא רשם את השיטה

לאשף IKEv2 יש קצה מחוספס ותיק. בחירת אימות עם שם משתמש וסיסמה לא תמיד נשמרת, והביקור הבא באשף מציג שוב את הרשומה הגנרית. הערך השמור הוא מה שהלקוח בודק בזמן החיבור, ולכן שיטה חסרה נראית בדיוק כמו סיסמה חסרה. מה שנשאר הוא פרופיל בלי שיטת אימות, מה שמשאיר סוד שמור בלי דבר להיקשר אליו.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

הגדרה מפורשת של השיטה עוקפת את הדו-שיח לגמרי, וקריאה חוזרת של הערך מוכיחה מה נכתב. ערך שחוזר מעצמו אומר שמשהו אחר כותב מחדש את הפרופיל.

אשר באמצעות התנתקות, לא באמצעות התחברות מחדש

התחברות מחדש בתוך אותו סשן משתמשת במצב שכניסה אמיתית בונה מחדש, ולכן היא יכולה להסתיר בעיית מאגר לגמרי. התנתק, התחבר שוב, והתחל את החיבור תוך התבוננות אם מוצעים אישורים או שמבקשים אותם. לאחר מכן הרץ שוב את הרשימות, כי הפרופיל אמור להופיע במאגר שאתה מצפה לו והשיטה אמורה להישאר זו שהגדרת. ניסיון חוזר באותו סשן מוכיח רק שהאישור השמור במטמון עדיין היה בזיכרון.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

אם הבקשה בכל זאת חוזרת, המועמד שנותר הוא השיטה עצמה, או שרענון מדיניות החזיר בשקט את ההגבלה המקורית. בדוק את השניים האלה לפני שתתקין מחדש לקוח שמעולם לא היה מעורב. שניהם משאירים עקבה משלהם בפלט הרשימה.

רשום את הסיבה ששינית ואת הראיה שאישרה אותה. רענון פרופיל יכול להחזיר את התיבה הריקה, וההערה היא מה שהופך את החזרה לזולה.