Mengapa Windows terus meminta kata laluan VPN anda

Kata laluan anda disimpan, kotaknya ditanda, tetapi sambungan seterusnya masih meminta kelayakan. Gelung itu mempunyai tiga punca di Windows: dasar seluruh mesin yang melarang penyimpanan, profil yang tinggal di stor berbeza daripada akaun yang menggunakannya, atau kaedah pengesahan yang tidak pernah dicatat oleh wizard profil. Setiap satu dibaiki di tempat lain, dan menukar yang salah memberi tanggapan tenang tentang kemajuan sementara kotak kekal kosong. Menamakan puncanya dahulu itulah yang menukar gelung itu menjadi pemeriksaan dua minit.

Dasar mesin boleh melarang penyimpanan

Satu nilai dalam konfigurasi perkhidmatan Akses Jauh boleh mematikan penyimpanan kelayakan untuk seluruh komputer. Selagi ia aktif, menanda kotak tidak mengubah apa-apa, kerana klien tiada tempat untuk meletakkan rahsia itu. Oleh itu percubaan seterusnya bermula dengan ruang kosong, dan tiada tetapan peringkat profil boleh mengatasinya. Ini perkara pertama yang perlu dibaca, kerana ia satu-satunya daripada tiga punca yang menjejaskan semua akaun sekali gus.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Baca nilainya sebelum membina semula sambungan, dan anggap mesin yang dikonfigurasi begini sebagai disengajakan bukan rosak: sifar ialah keadaan biasa dan satu menyekat penyimpanan bagi setiap profil pada mesin itu. Pada peranti yang diurus, minta pemilik dasar mengubahnya daripada menyunting registri di bawah akaun anda sendiri. Satu penyegaran akan memulihkan nilai lama dalam seminggu, dan pengguna akan membuat kesimpulan bahawa pembaikan itu tidak pernah berkesan. Itulah sebabnya suntingan setempat kelihatan seperti kegagalan kemudian. Tanya sama ada sekatan itu disengajakan sebelum melawannya.

Profil mungkin berada di stor yang lain

Windows menyimpan satu buku telefon bagi setiap akaun dan satu untuk seluruh mesin, dan sambungan yang dibuat dalam yang pertama tidak kelihatan kepada yang kedua. Gejalanya ialah sambungan yang hilang atau gesaan yang tidak pernah menawarkan kelayakan tersimpan. Menyenaraikan kedua-dua skop mengambil satu arahan setiap satu dan menyelesaikan persoalan dalam beberapa saat. Lakukan itu sebelum memutuskan kelayakan itu hilang.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Cipta profil dengan pilihan semua pengguna apabila setiap akaun pada mesin perlu menggunakannya. Senarai itu juga menunjukkan kaedah pengesahan di sebelah setiap nama, yang segera menyempitkan siasatan. Skop menentukan di mana konfigurasi tinggal; ia tidak menjadikan sambungan sebagai terowong peranti atau berkongsi kelayakan seorang pengguna dengan semua orang. Ia juga berinteraksi dengan permulaan, kerana akaun perkhidmatan yang mendail semasa boot tidak dapat melihat profil yang dicipta dalam stor pengguna.

Wizard mungkin tidak pernah menulis kaedah itu

Wizard IKEv2 mempunyai bucu kasar yang lama. Memilih pengesahan nama pengguna dan kata laluan tidak selalu disimpan, dan lawatan seterusnya ke wizard memaparkan lagi entri generik. Nilai tersimpan itulah yang dirujuk oleh klien semasa menyambung, jadi kaedah yang hilang kelihatan betul-betul seperti kata laluan yang hilang. Apa yang tinggal ialah profil tanpa kaedah pengesahan, yang meninggalkan rahsia tersimpan tanpa apa-apa untuk diikat.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

Menetapkan kaedah secara jelas mengelakkan dialog sepenuhnya, dan membaca semula nilainya membuktikan apa yang ditulis. Nilai yang kembali dengan sendirinya bermakna sesuatu yang lain sedang menulis semula profil itu.

Sahkan dengan log keluar, bukan dengan sambung semula

Menyambung semula dalam sesi yang sama menggunakan semula keadaan yang dibina semula oleh log masuk sebenar, jadi ia boleh menyembunyikan masalah stor sepenuhnya. Log keluar, log masuk semula, dan mulakan sambungan sambil memerhati sama ada kelayakan ditawarkan atau diminta. Kemudian jalankan senarai sekali lagi, kerana profil sepatutnya muncul dalam stor yang anda jangkakan dan kaedahnya sepatutnya kekal seperti yang anda tetapkan. Percubaan semula dalam sesi yang sama hanya membuktikan bahawa kelayakan dalam cache masih berada di dalam memori.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Jika gesaan itu tetap kembali, calon yang tinggal ialah kaedah itu sendiri, atau penyegaran dasar telah memulihkan sekatan asal secara senyap. Periksa kedua-duanya sebelum memasang semula klien yang tidak pernah terlibat. Kedua-duanya meninggalkan jejak mereka sendiri dalam output senarai.

Catat punca yang anda ubah dan bukti yang mengesahkannya. Penyegaran profil boleh mengembalikan kotak kosong, dan catatan itulah yang menjadikan pengulangan murah.