Waarom Windows steeds om je VPN-wachtwoord blijft vragen

Je wachtwoord is opgeslagen, het vakje is aangevinkt, en toch vraagt de volgende verbinding om de inloggegevens. Die lus heeft drie mogelijke oorzaken op Windows: een beleid voor de hele machine dat opslaan verbiedt, een profiel dat in een ander archief staat dan het account dat het gebruikt, of een verificatiemethode die de profielwizard nooit heeft vastgelegd. Elk wordt ergens anders verholpen, en de verkeerde aanpassen geeft het geruststellende gevoel van vooruitgang terwijl het vakje leeg blijft. De oorzaak eerst benoemen is wat de lus in een controle van twee minuten verandert.

Een machinebeleid kan opslaan verbieden

Eén waarde in de configuratie van de service voor externe toegang kan het opslaan van inloggegevens voor de hele computer uitschakelen. Zolang die actief is, verandert het aanvinken van het vakje niets, omdat de client nergens het geheim kan bewaren. De volgende poging begint dus met een leeg veld, en geen instelling op profielniveau kan dat overrulen. Dit is het eerste dat je moet lezen, want het is de enige van de drie oorzaken die alle accounts tegelijk treft.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Lees de waarde voordat je de verbinding opnieuw opbouwt, en beschouw een zo ingerichte machine als bewust en niet als stuk: nul is de normale toestand en één blokkeert opslaan voor elk profiel op de machine. Op een beheerd apparaat vraag je de eigenaar van het beleid het te wijzigen in plaats van het register onder je eigen account aan te passen. Eén vernieuwing zet de oude waarde binnen een week terug, en de gebruiker concludeert dat de oplossing nooit heeft gewerkt. Daarom lijkt een lokale wijziging later op een mislukking. Vraag of de beperking bedoeld is voordat je ertegen vecht.

Het profiel kan in het andere archief staan

Windows houdt één telefoonboek per account en één voor de hele machine, en een verbinding die in het eerste is gemaakt is onzichtbaar voor het tweede. Het symptoom is een ontbrekende verbinding of een melding die de opgeslagen inloggegevens nooit aanbiedt. Beide bereiken opsommen kost één opdracht per stuk en beslecht de vraag in seconden. Doe dat voordat je besluit dat de inloggegevens verloren zijn.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Maak het profiel met de optie voor alle gebruikers wanneer elk account op de machine het moet gebruiken. De lijst toont ook de verificatiemethode naast elke naam, wat het onderzoek meteen vernauwt. Bereik bepaalt waar de configuratie woont; het maakt de verbinding niet tot een apparaattunnel en deelt niet de inloggegevens van één gebruiker met iedereen. Het werkt ook door op het opstarten, omdat een serviceaccount dat bij het opstarten belt geen profiel ziet dat in een gebruikersarchief is gemaakt.

De wizard heeft de methode misschien nooit opgeslagen

De IKEv2-wizard heeft een oude ruwe rand. Het kiezen van verificatie met gebruikersnaam en wachtwoord wordt niet altijd opgeslagen, en het volgende bezoek aan de wizard toont weer de algemene vermelding. De opgeslagen waarde is wat de client bij het verbinden raadpleegt, dus een ontbrekende methode lijkt precies op een ontbrekend wachtwoord. Wat overblijft is een profiel zonder verificatiemethode, en dat laat een opgeslagen geheim achter zonder iets om het aan te verbinden.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

De methode expliciet instellen vermijdt de dialoog volledig, en de waarde teruglezen bewijst wat er is geschreven. Een waarde die vanzelf terugspringt betekent dat iets anders het profiel herschrijft.

Bevestig met een afmelding, niet met opnieuw verbinden

Opnieuw verbinden binnen dezelfde sessie hergebruikt toestand die een echte aanmelding opnieuw opbouwt, dus het kan een archiefprobleem volledig verbergen. Meld af, meld opnieuw aan, en start de verbinding terwijl je kijkt of inloggegevens worden aangeboden of gevraagd. Voer daarna de lijsten opnieuw uit, want het profiel hoort in het archief te verschijnen dat je verwacht en de methode hoort nog de ingestelde te zijn. Een nieuwe poging in dezelfde sessie bewijst alleen dat de gecachte inloggegevens nog in het geheugen stonden.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Als de melding toch terugkomt, is de resterende kandidaat de methode zelf, of heeft een beleidsvernieuwing de oorspronkelijke beperking stil hersteld. Controleer die twee voordat je een client herinstalleert die er nooit bij betrokken was. Beide laten hun eigen spoor achter in de uitvoer van de lijst.

Noteer de oorzaak die je hebt gewijzigd en het bewijs dat die bevestigde. Een profielvernieuwing kan het lege vak terugbrengen, en de notitie is wat de herhaling goedkoop maakt.