Hvorfor Windows stadig spør etter VPN-passordet ditt

Passordet er lagret, avkrysningsruten er merket, og likevel spør neste tilkobling etter påloggingsinformasjonen. Denne løkken har tre mulige årsaker på Windows: en policy for hele maskinen som forbyr lagring, en profil som ligger i et annet lager enn kontoen som bruker den, eller en autentiseringsmetode som profilveiviseren aldri skrev ned. Hver av dem rettes et annet sted, og å endre den gale gir et beroligende inntrykk av fremgang mens boksen blir stående tom. Å navngi årsaken først er det som gjør løkken til en kontroll på to minutter.

En maskinpolicy kan forby lagring

Én enkelt verdi i konfigurasjonen av tjenesten for ekstern tilgang kan slå av lagring av påloggingsinformasjon for hele datamaskinen. Mens den er aktiv, endrer det å merke ruten ingenting, fordi klienten ikke har noe sted å legge hemmeligheten. Neste forsøk starter derfor med et tomt felt, og ingen innstilling på profilnivå kan overstyre det. Dette er det første du bør lese, fordi det er den eneste av de tre årsakene som rammer alle kontoer samtidig.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Les verdien før du bygger tilkoblingen på nytt, og behandle en maskin som er satt opp slik som bevisst og ikke ødelagt: null er normaltilstanden, og én blokkerer lagring for hver profil på maskinen. På en administrert enhet bør du be eieren av policyen om å endre den i stedet for å redigere registeret under din egen konto. En oppdatering vil gjenopprette den gamle verdien innen en uke, og brukeren vil konkludere med at rettelsen aldri virket. Det er derfor en lokal endring senere ser ut som en fiasko. Spør om begrensningen er tilsiktet før du kjemper mot den.

Profilen kan ligge i det andre lageret

Windows holder én telefonbok per konto og én for hele maskinen, og en tilkobling som er opprettet i den første er usynlig for den andre. Symtomet er en manglende tilkobling eller en forespørsel som aldri tilbyr den lagrede påloggingsinformasjonen. Å liste begge omfangene tar én kommando hver og avgjør spørsmålet på sekunder. Gjør det før du bestemmer deg for at påloggingsinformasjonen er tapt.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Opprett profilen med alternativet for alle brukere når hver konto på maskinen må bruke den. Listen viser også autentiseringsmetoden ved siden av hvert navn, noe som snevrer inn undersøkelsen med en gang. Omfanget avgjør hvor konfigurasjonen bor; det gjør ikke tilkoblingen til en enhetstunnel eller deler én brukers påloggingsinformasjon med alle. Det virker også inn på oppstarten, fordi en tjenestekonto som ringer opp ved oppstart ikke ser en profil som er opprettet i et brukerlager.

Veiviseren har kanskje aldri skrevet metoden

IKEv2-veiviseren har en gammel ru kant. Valg av autentisering med brukernavn og passord blir ikke alltid lagret, og neste besøk i veiviseren viser igjen den generiske oppføringen. Den lagrede verdien er det klienten slår opp ved tilkobling, så en manglende metode ser nøyaktig ut som et manglende passord. Det som står igjen, er en profil uten autentiseringsmetode, og det lar en lagret hemmelighet stå uten noe å binde den til.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

Å sette metoden eksplisitt unngår dialogen helt, og å lese verdien tilbake beviser hva som ble skrevet. En verdi som faller tilbake av seg selv, betyr at noe annet skriver om profilen.

Bekreft med en utlogging, ikke en ny tilkobling

Å koble til på nytt i samme økt gjenbruker tilstand som en ekte pålogging bygger opp igjen, så det kan skjule et lagerproblem fullstendig. Logg av, logg på igjen, og start tilkoblingen mens du ser om påloggingsinformasjon tilbys eller bes om. Kjør deretter listene på nytt, fordi profilen bør dukke opp i lageret du forventer, og metoden bør fortsatt være den du satte. Et nytt forsøk i samme økt beviser bare at den bufrede påloggingsinformasjonen fortsatt var i minnet.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Hvis forespørselen likevel kommer tilbake, er den gjenværende kandidaten metoden selv, eller en policyoppdatering har stille gjenopprettet den opprinnelige begrensningen. Sjekk de to før du installerer på nytt en klient som aldri var involvert. Begge setter sine egne spor i utskriften fra listen.

Noter årsaken du endret og beviset som bekreftet den. En profiloppdatering kan bringe den tomme boksen tilbake, og notatet er det som gjør gjentakelsen billig.