Hvorfor Windows tilbyr VPN-passordet til en filserver

Windows kan sette opp en tunnel og deretter tilby den samme kontoen til en filserver som aldri har hørt om den. Gatewayen godtok påloggingen; delingen gjorde det ikke, og å skrive passordet på nytt endrer ingenting. Å slå av lagring av påloggingsinformasjon for hele datamaskinen ser ut som løsningen og er det ikke. En innebygd RAS-tilkobling har en bryter per profil som uttrykker nettopp denne hensikten.

Finn ut hvilken konto som ble avvist

Les oppfordringen i stedet for å avvise den. Servernavnet i dialogen, domenet som er trykt ved siden av brukernavnet, og om oppfordringen kom før eller etter at tunnelen ble dannet, peker hver på noe forskjellig. En feil som nevner en deling er ikke den samme feilen som en som nevner en vert.

Bekreft at ressursen i det hele tatt svarer før du diskuterer identitet. En manglende rute, en skrivefeil i servernavnet og en konto uten delingstillatelser gir tre forskjellige symptomer, og bare det siste gjelder identiteten Windows tilbød. Sjekk om den avviste kontoen er gateway-kontoen. Hvis VPN-påloggingen er en ekstern tilgangsidentitet som eies av gatewayen og ikke en katalogkonto, har filserveren ingen grunn til å kjenne den igjen, og å skrive det samme passordet på nytt gjentar bare den samme avvisningen. Denne forskjellen avgjør om neste avsnitt gjelder for deg i det hele tatt.

Sett UseRasCredentials på én profil

Feltet er UseRasCredentials, og en verdi på null hindrer at den ene tilkoblingen tilbyr sine RAS-påloggingsdata til nettverksressurser. Endringen er begrenset til én profil, og det er nettopp poenget: den har én dokumentert betydning og rører ingenting annet på maskinen.

Sikkerhetsretningslinjen som blokkerer lagrede påloggingsdata for nettverksautentisering gjør det motsatte, fordi den gjelder for hver tilkobling på datamaskinen. Å bruke den her ville endre atferden for hver ressurs brukeren åpner neste uke, og derfor hører den utenfor denne reparasjonen. UseRasCredentials er også en RAS-funksjon, så en tredjepartsklient med egen håndtering av påloggingsdata vil ignorere den. For slike klienter er leverandørens dokumentasjon den eneste autoriteten på om atferden kan endres. Sjekk hvilken klient som eier tilkoblingen før du redigerer en fil den klienten aldri leser.

Rediger telefonboken som eier tilkoblingen

Finn telefonboken som eier tilkoblingen før du åpner en editor. En tilkobling opprettet av brukeren ligger i banen for roaming-programdata, og en opprettet for alle brukere ligger under programdatakatalogen; de to filene er uavhengige. Å redigere den feil endrer ingenting, og feilen ser identisk ut etterpå.

List begge plasseringene og bekreft den fulle banen til filen du vil redigere. En fil under feil profil blir ignorert selv etter at du har endret den riktig, og den andre feilen ser nøyaktig ut som den første.

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

Inne i avsnittet som bærer det nøyaktige tilkoblingsnavnet, er bryteren én linje. Endre bare den verdien, og la hvert annet avsnitt være som det var.

UseRasCredentials=1   becomes   UseRasCredentials=0

En filomfattende erstatning for hver tilkobling i telefonboken er ikke en endring av én profil, og den dukker opp uker senere når noen feilsøker en urelatert tunnel. Ta vare på sikkerhetskopien ved siden av filen til endringen er verifisert. Hvis enheten administreres, er det i den eiende utrullingen innstillingen skal endres, ikke i en fil under brukerprofilen. Støttede Windows-versjoner tilbyr en ekvivalent per profil via konfigurasjonstjenesteleverandøren VPNv2, og versjonskravene må sjekkes separat fra leverandørens krav som helhet.

Verifiser med et nytt forsøk

Koble fra, lukk økten som var åpen, og prøv igjen. En eksisterende tilkoblet stasjon eller en åpen filbehandler kan fortsette å bruke identiteten den allerede er autentisert med, så ingenting som virker gjennom en gammel økt beviser noe om endringen. Bekreft først den redigerte verdien, med nok kontekst til å vise hvilket avsnitt den hører til.

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

Bekreft deretter hvilken identitet ressursen faktisk mottok. En deling som fortsatt nekter tilgang med riktig konto, er et autorisasjonsproblem, og filserverens egen logg er der svaret ligger. Den dokumenterte beskrivelsen av denne innstillingen dekker utrullingen der VPN-identiteten skiller seg fra katalogidentiteten, og det er verdt å lese den før du antar at feltet gjelder klienten din. Noter endringen, telefonbokens bane og kontoen ressursen nå ser, fordi neste person som treffer dette starter fra den samme forvirringen.