Kvifor Windows tilbyr VPN-passordet til ein filserver

Windows kan setja opp ein tunnel og deretter tilby den same kontoen til ein filserver som aldri har høyrt om han. Gatewayen godtok pålogginga; delinga gjorde det ikkje, og å skriva passordet på nytt endrar ingenting. Å slå av lagring av påloggingsinformasjon for heile datamaskinen ser ut som løysinga og er det ikkje. Ei innebygd RAS-tilkopling har ein brytar per profil som uttrykkjer nettopp denne hensikta.

Finn ut kva konto som vart avvist

Les oppfordringa i staden for å avvisa henne. Servernamnet i dialogen, domenet som er trykt ved sida av brukarnamnet, og om oppfordringa kom før eller etter at tunnelen vart danna, peikar kvar på noko ulikt. Ein feil som nemner ei deling er ikkje den same feilen som ein som nemner ein vert.

Stadfest at ressursen i det heile svarar før du diskuterer identitet. Ei manglande rute, ein skrivefeil i servernamnet og ein konto utan delingstillatingar gjev tre ulike symptom, og berre det siste gjeld identiteten Windows tilbaud. Sjekk om den avviste kontoen er gateway-kontoen. Viss VPN-pålogginga er ein ekstern tilgangsidentitet som gatewayen eig og ikkje ein katalogkonto, har filserveren ingen grunn til å kjenna han att, og å skriva det same passordet på nytt gjer berre den same avvisinga om att. Denne skilnaden avgjer om neste avsnitt gjeld for deg i det heile.

Set UseRasCredentials på éin profil

Feltet er UseRasCredentials, og ein verdi på null hindrar at den eine tilkoplinga tilbyr RAS-påloggingsinformasjonen sin til nettverksressursar. Endringa er avgrensa til éin profil, og det er nettopp poenget: ho har éi dokumentert tyding og rører ingenting anna på maskinen.

Tryggingsretningslinja som blokkerer lagra påloggingsinformasjon for nettverksautentisering gjer det motsette, fordi ho gjeld for kvar tilkopling på datamaskinen. Å bruka henne her ville endra åtferda for kvar ressurs brukaren opnar neste veke, og difor høyrer ho utanfor denne reparasjonen. UseRasCredentials er også ein RAS-funksjon, så ein tredjepartsklient med eigen handsaming av påloggingsinformasjon vil oversjå han. For slike klientar er dokumentasjonen til leverandøren den einaste autoriteten på om åtferda kan endrast. Sjekk kva klient som eig tilkoplinga før du redigerer ei fil som den klienten aldri les.

Rediger telefonboka som eig tilkoplinga

Finn telefonboka som eig tilkoplinga før du opnar ein editor. Ei tilkopling oppretta av brukaren ligg i banen for roaming-programdata, og ei oppretta for alle brukarar ligg under programdatakatalogen; dei to filene er uavhengige. Å redigera den feile endrar ingenting, og feilen ser identisk ut etterpå.

List opp begge plasseringane og stadfest den fulle banen til fila du vil redigera. Ei fil under feil profil vert oversett sjølv etter at du har endra henne rett, og den andre feilen ser nøyaktig ut som den første.

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

Inne i avsnittet som ber det nøyaktige tilkoplingsnamnet, er brytaren éi linje. Endra berre den verdien, og lat kvart anna avsnitt vera som det var.

UseRasCredentials=1   becomes   UseRasCredentials=0

Ei filomfattande erstatning for kvar tilkopling i telefonboka er ikkje ei endring av éin profil, og ho dukkar opp veker seinare når nokon feilsøkjer ein urelatert tunnel. Ta vare på tryggingskopien ved sida av fila til endringa er verifisert. Viss eininga vert styrt, er det i den eigande utrullinga innstillinga skal endrast, ikkje i ei fil under brukarprofilen. Støtta Windows-versjonar tilbyr ein ekvivalent per profil via konfigurasjonstenesteleverandøren VPNv2, og versjonskrava må sjekkast separat frå krava til leverandøren som heilskap.

Verifiser med eit nytt forsøk

Kopla frå, lukk økta som var open, og prøv igjen. Ein eksisterande tilkopla stasjon eller ein open filhandsamar kan halda fram med å bruka identiteten han alt er autentisert med, så ingenting som verkar gjennom ei gammal økt provar noko om endringa. Stadfest først den redigerte verdien, med nok kontekst til å visa kva avsnitt han høyrer til.

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

Stadfest deretter kva identitet ressursen faktisk fekk. Ei deling som framleis nektar tilgang med rett konto, er eit autorisasjonsproblem, og loggen til filserveren sjølv er der svaret ligg. Den dokumenterte skildringa av denne innstillinga dekkjer utrullinga der VPN-identiteten skil seg frå katalogidentiteten, og det er verdt å lesa henne før du går ut frå at feltet gjeld klienten din. Noter endringa, banen til telefonboka og kontoen ressursen no ser, fordi neste person som treff dette byrjar frå den same forvirringa.