Waarom Windows het VPN-wachtwoord aan een fileserver aanbiedt

Windows kan een tunnel opzetten en daarna hetzelfde account aanbieden aan een fileserver die er nooit van heeft gehoord. De gateway accepteerde de aanmelding; de share niet, en het wachtwoord opnieuw intypen verandert niets. Het uitschakelen van opslag van referenties voor de hele computer lijkt de oplossing en is het niet. Een native RAS-verbinding heeft een schakelaar per profiel die precies deze bedoeling uitdrukt.

Bepaal welk account is geweigerd

Lees de prompt in plaats van hem weg te klikken. De servernaam in het dialoogvenster, het domein dat naast de gebruikersnaam is afgedrukt en of de prompt voor of na het opzetten van de tunnel verscheen, wijzen elk naar iets anders. Een fout die een share noemt is niet dezelfde fout als een die een host noemt.

Bevestig eerst dat de resource überhaupt antwoordt voordat je over identiteit discussieert. Een ontbrekende route, een typefout in de servernaam en een account zonder sharemachtigingen geven drie verschillende symptomen, en alleen het laatste betreft de identiteit die Windows aanbood. Controleer of het geweigerde account het gateway-account is. Als de VPN-aanmelding een door de gateway beheerde identiteit voor externe toegang is en geen directoryaccount, heeft de fileserver geen reden om die te herkennen, en hetzelfde wachtwoord opnieuw intypen herhaalt alleen dezelfde weigering. Dat onderscheid bepaalt of de volgende sectie überhaupt op jou van toepassing is.

Stel UseRasCredentials in op één profiel

Het veld is UseRasCredentials, en een waarde van nul verhindert dat die ene verbinding haar RAS-referenties aan netwerkresources aanbiedt. De wijziging is beperkt tot één profiel, en dat is precies het punt: het heeft één gedocumenteerde betekenis en raakt niets anders op de machine aan.

Het beveiligingsbeleid dat opgeslagen referenties voor netwerkverificatie blokkeert, doet het tegenovergestelde en geldt voor elke verbinding op de computer. Het hier gebruiken zou het gedrag veranderen voor elke resource die de gebruiker volgende week opent, en daarom hoort het buiten deze reparatie. UseRasCredentials is ook een RAS-functie, dus een client van derden met eigen referentieafhandeling negeert het. Voor zulke clients is de leveranciersdocumentatie de enige autoriteit over de vraag of het gedrag kan worden gewijzigd. Controleer welke client de verbinding bezit voordat je een bestand bewerkt dat die client nooit leest.

Bewerk het telefoonboek dat de verbinding bezit

Zoek het telefoonboek dat de verbinding bezit voordat je een editor opent. Een door de gebruiker gemaakte verbinding staat in het pad voor roaming-toepassingsgegevens, en een voor alle gebruikers gemaakte verbinding staat onder de programmagegevensmap; de twee bestanden zijn onafhankelijk. De verkeerde bewerken verandert niets, en de fout ziet er daarna identiek uit.

Noem beide locaties en bevestig het volledige pad van het bestand dat je wilt bewerken. Een bestand onder het verkeerde profiel wordt genegeerd, zelfs nadat je het correct hebt gewijzigd, en de tweede fout ziet er precies zo uit als de eerste.

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

Binnen de sectie met de exacte verbindingsnaam is de schakelaar één regel. Wijzig alleen die waarde en laat elke andere sectie zoals die was.

UseRasCredentials=1   becomes   UseRasCredentials=0

Een bestandsbrede vervanging voor elke verbinding in het telefoonboek is geen wijziging van één profiel, en het duikt weken later op wanneer iemand een ongerelateerde tunnel debugt. Bewaar de back-up naast het bestand tot de wijziging is geverifieerd. Als het apparaat wordt beheerd, hoort de instelling in de beherende uitrol te worden gewijzigd, niet in een bestand onder het gebruikersprofiel. Ondersteunde Windows-versies bieden een equivalent per profiel via de configuratieserviceprovider VPNv2, en de versievereisten daarvan moeten apart van die van de provider als geheel worden gecontroleerd.

Verifieer met een nieuwe poging

Verbreek de verbinding, sluit de sessie die open was en probeer opnieuw. Een bestaande toegewezen schijf of een open bestandshandle kan de identiteit blijven gebruiken waarmee al is geverifieerd, dus niets dat via een oude sessie werkt bewijst iets over de wijziging. Bevestig eerst de bewerkte waarde, met genoeg context om de sectie te tonen waartoe die behoort.

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

Bevestig daarna welke identiteit de resource werkelijk heeft ontvangen. Een share die nog steeds toegang weigert met het juiste account is een autorisatieprobleem, en de eigen log van de fileserver is waar dat antwoord staat. De gedocumenteerde beschrijving van deze instelling behandelt de uitrol waarin de VPN-identiteit verschilt van de directory-identiteit, en het is de moeite waard die te lezen voordat je aanneemt dat het veld op jouw client van toepassing is. Noteer de wijziging, het pad van het telefoonboek en het account dat de resource nu ziet, want de volgende persoon die dit tegenkomt begint bij dezelfde verwarring.