Perché Windows continua a chiedere la password VPN

La password è salvata, la casella è spuntata, e la connessione successiva chiede comunque le credenziali. Quel ciclo ha tre cause possibili su Windows: un criterio a livello di computer che vieta il salvataggio, un profilo che vive in un archivio diverso dall’account che lo usa, o un metodo di autenticazione che la procedura guidata dei profili non ha mai annotato. Ognuna si corregge altrove, e cambiare quella sbagliata dà la rassicurante impressione di avanzare mentre la casella resta vuota. Nominare per prima la causa è ciò che trasforma il ciclo in un controllo di due minuti.

Un criterio del computer può vietare il salvataggio

Un solo valore nella configurazione del servizio di accesso remoto può disattivare il salvataggio delle credenziali per l’intero computer. Finché è attivo, spuntare la casella non cambia nulla, perché il client non ha dove mettere il segreto. Perciò il tentativo successivo parte da un campo vuoto, e nessuna impostazione a livello di profilo può ignorarlo. È la prima cosa da leggere, perché è l’unica delle tre cause che tocca tutti gli account insieme.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Leggi il valore prima di ricostruire la connessione, e tratta un computer configurato così come voluto e non come guasto: zero è lo stato normale e uno blocca il salvataggio per ogni profilo della macchina. Su un dispositivo gestito, chiedi al proprietario del criterio di cambiarlo invece di modificare il registro con il tuo account. Un aggiornamento ripristinerà il vecchio valore entro una settimana, e l’utente concluderà che la correzione non ha mai funzionato. Per questo una modifica locale sembra un fallimento più tardi. Chiedi se la restrizione è intenzionale prima di combatterla.

Il profilo può stare nell’altro archivio

Windows tiene una rubrica per account e una per l’intera macchina, e una connessione creata nella prima è invisibile alla seconda. Il sintomo è una connessione mancante o un avviso che non offre mai la credenziale salvata. Elencare entrambi gli ambiti costa un comando ciascuno e risolve la questione in pochi secondi. Fallo prima di decidere che la credenziale sia andata persa.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Crea il profilo con l’opzione per tutti gli utenti quando ogni account della macchina deve usarlo. L’elenco mostra anche il metodo di autenticazione accanto a ogni nome, il che restringe subito l’indagine. L’ambito decide dove vive la configurazione; non trasforma la connessione in un tunnel di dispositivo né condivide la credenziale di un utente con tutti. Interagisce anche con l’avvio, perché un account di servizio che chiama al boot non vede un profilo creato in un archivio utente.

La procedura guidata potrebbe non aver mai scritto il metodo

La procedura guidata di IKEv2 ha un bordo ruvido di vecchia data. La selezione dell’autenticazione con nome utente e password non viene sempre salvata, e la visita successiva alla procedura mostra di nuovo la voce generica. Il valore salvato è ciò che il client consulta al momento della connessione, quindi un metodo mancante sembra esattamente una password mancante. Resta un profilo senza metodo di autenticazione, che lascia un segreto salvato senza nulla a cui legarsi.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

Impostare il metodo in modo esplicito evita del tutto la finestra, e rileggere il valore dimostra cosa è stato scritto. Un valore che torna indietro da solo significa che qualcos’altro riscrive il profilo.

Conferma con una disconnessione, non con una riconnessione

Riconnettersi dentro la stessa sessione riutilizza uno stato che un vero accesso ricostruisce, quindi può nascondere del tutto un problema di archivio. Disconnettiti, riconnettiti e avvia la connessione osservando se una credenziale viene offerta o richiesta. Poi esegui di nuovo gli elenchi, perché il profilo dovrebbe comparire nell’archivio che ti aspetti e il metodo dovrebbe restare quello che hai impostato. Un nuovo tentativo nella stessa sessione dimostra solo che la credenziale in cache era ancora in memoria.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Se l’avviso torna comunque, il candidato rimasto è il metodo stesso, oppure un aggiornamento dei criteri ha ripristinato in silenzio la restrizione originale. Controlla quei due prima di reinstallare un client che non è mai stato coinvolto. Entrambi lasciano la propria traccia nell’output dell’elenco.

Annota la causa che hai cambiato e la prova che l’ha confermata. Un aggiornamento del profilo può far tornare la casella vuota, e la nota è ciò che rende economica la ripetizione.