Perché Windows offre la password VPN a un file server

Windows può attivare un tunnel e poi offrire lo stesso account a un file server che non ne ha mai sentito parlare. Il gateway ha accettato l'accesso; la condivisione no, e riscrivere la password non cambia nulla. Disattivare l'archiviazione delle credenziali per l'intero computer sembra la soluzione e non lo è. Una connessione RAS nativa porta un interruttore per profilo che esprime esattamente questa intenzione.

Identificare quale account è stato rifiutato

Leggi la richiesta invece di ignorarla. Il nome del server nella finestra, il dominio stampato accanto al nome utente e se la richiesta è arrivata prima o dopo la formazione del tunnel indicano ciascuno un punto diverso. Un errore che nomina una condivisione non è lo stesso errore di uno che nomina un host.

Prima di discutere di identità, verifica che la risorsa risponda. Una route mancante, un errore di battitura nel nome del server e un account senza autorizzazioni di condivisione producono tre sintomi diversi, e solo l'ultimo riguarda l'identità offerta da Windows. Controlla se l'account rifiutato è l'account del gateway. Se l'accesso VPN è un'identità di accesso remoto di proprietà del gateway e non un account di directory, il file server non ha motivo di riconoscerla, e riscrivere la stessa password ripete solo lo stesso rifiuto. Questa distinzione decide se la sezione seguente ti riguarda.

Impostare UseRasCredentials su un profilo

Il campo è UseRasCredentials, e un valore zero impedisce a quella connessione di offrire le sue credenziali RAS alle risorse di rete. La modifica è limitata a un profilo, ed è proprio questo il punto: ha un solo significato documentato e non tocca nient'altro della macchina.

Il criterio di sicurezza che blocca le credenziali memorizzate per l'autenticazione di rete fa l'opposto, perché si applica a ogni connessione del computer. Usarlo qui cambierebbe il comportamento per ogni risorsa che l'utente aprirà la settimana prossima, perciò resta fuori da questa riparazione. UseRasCredentials è anche una funzionalità RAS, quindi un client di terze parti con una propria gestione delle credenziali lo ignorerà. Per quei client la documentazione del fornitore è l'unica autorità su se il comportamento possa essere modificato. Controlla quale client possiede la connessione prima di modificare un file che quel client non legge mai.

Modificare la rubrica che possiede la connessione

Trova la rubrica che possiede la connessione prima di aprire un editor. Una connessione creata dall'utente vive nel percorso dei dati applicativi mobili, e una creata per tutti gli utenti sotto la directory dei dati dei programmi; i due file sono indipendenti. Modificare quello sbagliato non cambia nulla, e l'errore sembra identico dopo.

Elenca entrambe le posizioni e conferma il percorso completo del file che intendi modificare. Un file sotto il profilo sbagliato verrà ignorato anche dopo averlo cambiato correttamente, e il secondo errore sembra esattamente il primo.

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

All'interno della sezione che porta il nome esatto della connessione, l'interruttore è una riga. Cambia solo quel valore e lascia ogni altra sezione com'era.

UseRasCredentials=1   becomes   UseRasCredentials=0

Una sostituzione su tutto il file per ogni connessione della rubrica non è una modifica di un solo profilo, e riemerge settimane dopo quando qualcuno esegue il debug di un tunnel non correlato. Tieni il backup accanto al file finché la modifica non è verificata. Se il dispositivo è gestito, la distribuzione proprietaria è dove va cambiata l'impostazione, non un file sotto il profilo utente. Le versioni di Windows supportate espongono un equivalente per profilo tramite il provider di servizi di configurazione VPNv2, e i suoi requisiti di versione vanno verificati separatamente da quelli del provider nel suo insieme.

Verificare con un nuovo tentativo

Disconnetti, chiudi la sessione che era aperta e riprova. Un'unità mappata esistente o un handle di file aperto possono continuare a usare l'identità con cui si sono già autenticati, quindi nulla che funzioni tramite una vecchia sessione dimostra qualcosa sulla modifica. Conferma prima il valore modificato, con abbastanza contesto da mostrare a quale sezione appartiene.

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

Poi conferma quale identità la risorsa ha effettivamente ricevuto. Una condivisione che rifiuta ancora l'accesso con l'account corretto è un problema di autorizzazione, e il registro del file server stesso è dove vive quella risposta. La descrizione documentata di questa impostazione copre la distribuzione in cui l'identità VPN differisce dall'identità di directory, e vale la pena leggerla prima di presumere che il campo si applichi al tuo client. Annota la modifica, il percorso della rubrica e l'account che la risorsa vede ora, perché la prossima persona che ci si imbatte parte dalla stessa confusione.