Twój Mac wysyła niewłaściwe konto Windows przez RDP

Tunel łączy się ponownie, Mac znów dociera do sieci biurowej, a Pulpit zdalny nadal odpowiada błędem logowania. Ten błąd nie jest błędem VPN. Tunel wprowadza Maca do zatwierdzonej sieci; do zdalnego komputera loguje się konto Windows, a wpis połączenia może wciąż wysyłać konto, którego przestałeś używać kilka miesięcy temu.

Przejrzyj wpis, zanim dotkniesz pęku kluczy.

Konto VPN i konto Windows to dwie różne rzeczy

Tożsamość VPN uwierzytelnia urządzenie lub osobę wobec bramy tunelu. Nie mówi nic o tym, które konto Windows zaakceptuje zdalny host, i nie może go zastąpić. Gdy tunel jest zdrowy, a pulpit odrzuca logowanie, problem minął już warstwę sieci. Traktuj oba uwierzytelnienia jako osobne zdarzenia z osobnymi dziennikami. Brama może pokazywać czystą sesję, podczas gdy dziennik zabezpieczeń Windows odnotowuje nieudane logowanie z zupełnie innego powodu.

Załóżmy, że administrator kazał użyć EXAMPLE\alex, a zapisany wpis nadal wybiera samo alex. To różne konta. Nazwa bez kwalifikatora jest rozstrzygana wobec lokalnych kont zdalnego komputera, a na maszynie przyłączonej do domeny może wcale nie zostać rozwiązana do tożsamości domeny.

Usunięcie prefiksu domeny nie jest więc uniwersalną naprawą. Zmienia to, które konto jest żądane, i może wywołać odrzucenie wyglądające jak problem z hasłem, choć hasło nigdy nie było problemem.

Otwórz wpis połączenia, a nie cały pęk kluczy

W aktualnej aplikacji Windows App dla macOS znajdź zdalny komputer w sekcji Urządzenia, otwórz jego akcję Edytuj i spójrz na konto przypisane do tego konkretnego wpisu. Aplikacja udostępnia kontrolki zapisanych poświadczeń, które pozwalają wybrać inne zapisane konto lub usunąć nieaktualne. To jest obsługiwane miejsce naprawy wyboru. Zmieniaj jedną właściwość naraz, żeby wiedzieć, która zmiana naprawdę miała znaczenie. Zmiana poświadczeń i zmiana nazwy hosta wykonane razem dają wynik, którego nikt nie może przypisać.

Nie zaczynaj od usuwania każdej pozycji pęku kluczy, której nazwa zawiera nazwę serwera. Pozycje pęku kluczy są współdzielone między aplikacjami, a szerokie usunięcie może odebrać niezwiązany dostęp, nie zmieniając nic po stronie Windows. Niszczy też dowody, których byś chciał, gdyby prawdziwym problemem okazała się nazwa hosta, trasa lub usługa RDP.

Jeśli jedno zapisane poświadczenie jest używane przez kilka zdalnych komputerów, sprawdź te zależności przed usunięciem. Edycja wpisu jednego komputera jest odwracalna; usunięcie współdzielonego poświadczenia to zmiana o szerszym zasięgu i gorszym śladzie audytowym.

Użyj formy konta podanej przez administratora

Wpisz konto dokładnie tak, jak zostało wydane, w formie oczekiwanej przez środowisko: DOMAIN\user dla domeny w stylu NetBIOS lub user principal name, jeśli tego używa katalog. Następnie zapisz je dla tego komputera i wykonaj jedną świadomą próbę połączenia.

Obserwuj, które konto pokazuje monit logowania. Monit zawierający już inną nazwę oznacza, że zapisany wybór nie został zastąpiony, a próba, którą właśnie wykonałeś, ponownie sprawdziła stare poświadczenia.

Trzymaj hasło z dala od notatek, zgłoszeń i zrzutów ekranu. Zapisuj zamiast tego nazwę konta i dokładny kod błędu, ponieważ kod odróżnia złe poświadczenia od odmowy polityki, wygasłego hasła lub maszyny, która w ogóle nie akceptuje RDP.

Nieudane połączenie przed logowaniem to inna usterka

Jeśli podgląd zawiedzie, zanim pojawi się jakiekolwiek logowanie Windows, poświadczenia nie są podejrzane. Sprawdź, czy nazwa hosta się rozwiązuje, czy trasa do hosta istnieje przez tunel i czy usługa RDP nasłuchuje. Połączenie TCP, które nigdy nie zostanie nawiązane, nigdy nie dociera do warstwy konta.

Odwrotnie, wyraźne odrzucenie konta nie jest dowodem, że DNS jest zepsuty albo że należy poluzować walidację certyfikatu. Takie zmiany osłabiają połączenie i zwykle zostawiają odrzucenie dokładnie tam, gdzie było.

Testuj w najmniejszych możliwych krokach: potwierdź, że port jest osiągalny, monit logowania się pojawia, wyświetlane konto jest tym zamierzonym, a potem podaj hasło. Każdy krok ma odrębną usterkę i odrębną naprawę.

Zostaw automatyczne ponowne łączenie w spokoju

Automatyczne ponowne łączenie wykorzystuje istniejący wpis, wraz z jego zapisanym kontem. To udogodnienie, a nie naprawa poświadczeń, więc wyłączenie go nie poprawia złego wyboru, a włączenie nie tworzy go. Jeśli wpis ma teraz właściwe konto, ponowne połączenie go użyje.

Zapisz poprawiony wpis, połącz się raz ręcznie i zanotuj, które konto zadziałało. Właśnie ta jedna linijka sprawia, że diagnoza następnej osoby trwa pięć minut, a nie całe popołudnie archeologii pęku kluczy.