Mengapa Windows terus meminta kata sandi VPN Anda

Kata sandi Anda tersimpan, kotaknya dicentang, tetapi koneksi berikutnya tetap meminta kredensial. Lingkaran itu punya tiga penyebab di Windows: kebijakan seluruh mesin yang melarang penyimpanan, profil yang berada di penyimpanan berbeda dari akun yang memakainya, atau metode autentikasi yang tidak pernah dicatat oleh wizard profil. Masing-masing diperbaiki di tempat lain, dan mengubah yang salah memberi kesan tenang bahwa ada kemajuan sementara kotaknya tetap kosong. Menamai penyebabnya lebih dulu itulah yang mengubah lingkaran menjadi pemeriksaan dua menit.

Kebijakan mesin bisa melarang penyimpanan

Satu nilai dalam konfigurasi layanan Akses Jarak Jauh dapat mematikan penyimpanan kredensial untuk seluruh komputer. Selama aktif, mencentang kotak tidak mengubah apa pun, karena klien tidak punya tempat menaruh rahasianya. Karena itu upaya berikutnya dimulai dengan kolom kosong, dan tidak ada pengaturan tingkat profil yang bisa mengalahkannya. Ini hal pertama yang harus dibaca, karena inilah satu-satunya dari tiga penyebab yang memengaruhi semua akun sekaligus.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Baca nilainya sebelum membangun ulang koneksi, dan anggap mesin yang dikonfigurasi begini sebagai disengaja, bukan rusak: nol adalah keadaan normal dan satu memblokir penyimpanan bagi setiap profil di mesin itu. Pada perangkat yang dikelola, minta pemilik kebijakan mengubahnya alih-alih menyunting registri di bawah akun Anda sendiri. Satu penyegaran akan mengembalikan nilai lama dalam sepekan, dan pengguna akan menyimpulkan bahwa perbaikannya tidak pernah berhasil. Itulah sebabnya suntingan lokal terlihat seperti kegagalan di kemudian hari. Tanyakan apakah batasan itu memang disengaja sebelum melawannya.

Profilnya bisa berada di penyimpanan lain

Windows menyimpan satu buku telepon per akun dan satu untuk seluruh mesin, dan koneksi yang dibuat di yang pertama tidak terlihat oleh yang kedua. Gejalanya koneksi yang hilang atau permintaan yang tidak pernah menawarkan kredensial tersimpan. Mendaftar kedua cakupan hanya butuh satu perintah masing-masing dan menyelesaikan pertanyaannya dalam hitungan detik. Lakukan itu sebelum memutuskan kredensialnya hilang.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Buat profil dengan opsi semua pengguna ketika setiap akun di mesin harus memakainya. Daftarnya juga menunjukkan metode autentikasi di samping setiap nama, yang langsung mempersempit penyelidikan. Cakupan menentukan di mana konfigurasi tinggal; itu tidak menjadikan koneksi sebagai terowongan perangkat atau membagi kredensial satu pengguna kepada semua orang. Itu juga berinteraksi dengan startup, karena akun layanan yang menelepon saat boot tidak dapat melihat profil yang dibuat di penyimpanan pengguna.

Wizard mungkin tidak pernah menulis metodenya

Wizard IKEv2 punya sisi kasar yang sudah lama. Memilih autentikasi nama pengguna dan kata sandi tidak selalu tersimpan, dan kunjungan berikutnya ke wizard menampilkan lagi entri generik. Nilai tersimpan itulah yang dibaca klien saat menyambung, jadi metode yang hilang terlihat persis seperti kata sandi yang hilang. Yang tersisa adalah profil tanpa metode autentikasi, yang meninggalkan rahasia tersimpan tanpa apa pun untuk diikat.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

Menetapkan metode secara eksplisit menghindari dialog sepenuhnya, dan membaca nilainya kembali membuktikan apa yang ditulis. Nilai yang kembali sendiri berarti ada hal lain yang menulis ulang profilnya.

Pastikan dengan keluar akun, bukan menyambung ulang

Menyambung ulang di dalam satu sesi memakai ulang keadaan yang dibangun ulang oleh proses masuk sungguhan, jadi itu bisa menyembunyikan masalah penyimpanan sepenuhnya. Keluar, masuk lagi, dan mulai koneksinya sambil mengamati apakah kredensial ditawarkan atau diminta. Lalu jalankan lagi daftarnya, karena profil harus muncul di penyimpanan yang Anda harapkan dan metodenya harus tetap yang Anda tetapkan. Percobaan ulang di sesi yang sama hanya membuktikan bahwa kredensial di cache masih ada di memori.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Jika permintaannya tetap kembali, kandidat yang tersisa adalah metodenya sendiri, atau penyegaran kebijakan diam-diam memulihkan batasan semula. Periksa keduanya sebelum memasang ulang klien yang tidak pernah terlibat. Keduanya meninggalkan jejaknya sendiri di keluaran daftar.

Catat penyebab yang Anda ubah dan bukti yang mengonfirmasinya. Penyegaran profil dapat mengembalikan kotak kosong, dan catatan itulah yang membuat pengulangan menjadi murah.