Windows が VPN パスワードを繰り返し求める理由

空のパスワード欄は、マシン ポリシー、誤ったプロファイル ストア、保存されなかった認証方法のいずれかから生じます。それぞれに専用の対処があります。

パスワードは保存され、チェックボックスもオンなのに、次の接続でまた資格情報を求められます。このループには、保存を禁止するマシン全体のポリシー、使うアカウントとは別のストアに置かれたプロファイル、あるいはプロファイル ウィザードが書き留めなかった認証方法という三つの原因が考えられます。どれも直す場所が違い、間違ったものを変えると、欄が空のままなのに進んだ気になるだけです。まず原因を名指しすることが、このループを二分の確認に変えます。

マシン ポリシーが保存を禁じることがある

リモート アクセス サービスの構成にある一つの値で、コンピューター全体の資格情報の保存を無効にできます。それが有効な間は、クライアントが秘密を置く場所を持たないため、チェックを入れても何も変わりません。そのため次の試行は空の欄から始まり、プロファイル単位の設定では打ち消せません。まずこれを読むべきで、三つの原因のうちすべてのアカウントに一度に影響するのはこれだけです。

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

接続を作り直す前に値を読み、こう構成されたマシンは壊れているのではなく意図的だと捉えてください。ゼロが通常の状態で、一にするとそのマシンのすべてのプロファイルで保存が止まります。管理されたデバイスでは、自分のアカウントでレジストリを編集するのではなく、ポリシーの所有者に変更を依頼します。更新が一度走れば一週間ほどで元の値に戻り、利用者は対処が効かなかったと結論づけます。だから後から見るとローカルの変更は失敗に見えるので、戦う前にその制限が意図的なものか尋ねてください。

プロファイルが別のストアにあることがある

Windows はアカウントごとに一冊、マシン全体で一冊の電話帳を持ち、前者で作った接続は後者からは見えません。症状は、接続が見当たらないか、保存済みの資格情報を決して提示しないプロンプトです。両方の範囲を一覧するのはそれぞれ一コマンドで済み、数秒で決着します。資格情報を失ったと判断する前に、それを実行してください。

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

マシンのすべてのアカウントが使う必要がある場合は、全ユーザーのオプションでプロファイルを作ります。一覧には各名前の横に認証方法も表示されるので、調査はすぐに絞れます。範囲は構成がどこに住むかを決めるだけで、接続をデバイス トンネルに変えたり、一人の資格情報を全員と共有したりはしません。起動にも関わり、ブート時にダイヤルするサービス アカウントはユーザー ストアに作られたプロファイルを見られません。

ウィザードが方法を書き留めていない場合がある

IKEv2 のウィザードには昔からの粗さがあります。ユーザー名とパスワードの認証を選んでも保存されないことがあり、次にウィザードを開くとまた汎用の項目が表示されます。保存された値こそクライアントが接続時に参照するものなので、方法が欠けているのはパスワードが欠けているのとまったく同じに見えます。残るのは認証方法のないプロファイルで、保存された秘密は結び付く先を失います。

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

方法を明示的に設定すればダイアログを完全に避けられ、値を読み返せば何が書かれたか証明できます。ひとりでに戻る値は、何か別のものがプロファイルを書き換えている証拠です。

再接続ではなくサインアウトで確かめる

同じセッション内で再接続すると、実際のサインインが作り直す状態を再利用するため、ストアの問題を完全に隠せます。サインアウトしてサインインし直し、接続を開始して、資格情報が提示されるのか要求されるのかを観察します。そのうえで、プロファイルは期待するストアに現れ方法は設定したままのはずなので、一覧をもう一度実行してください。同じセッションでの再試行は、キャッシュされた資格情報がまだメモリにあったことしか証明しません。

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

それでもプロンプトが戻るなら、残る候補は方法そのものか、ポリシーの更新が元の制限を静かに戻したかです。無関係だったクライアントを再インストールする前に、その二つを確認してください。どちらも一覧の出力に自分の痕跡を残します。

変更した原因と、それを裏づけた証拠を記録します。プロファイルの更新で空の欄が戻ることがあり、そのメモが繰り返しを安くします。

関連記事