Dlaczego Windows wciąż pyta o hasło do VPN

Hasło jest zapisane, pole zaznaczone, a kolejne połączenie i tak prosi o dane logowania. Ta pętla ma w Windows trzy możliwe przyczyny: zasadę dla całego komputera, która zabrania zapisywania, profil, który mieszka w innym magazynie niż konto, które go używa, albo metodę uwierzytelniania, której kreator profili nigdy nie zapisał. Każdą naprawia się gdzie indziej, a zmiana niewłaściwej daje uspokajające wrażenie postępu, podczas gdy pole pozostaje puste. Nazwanie przyczyny najpierw jest tym, co zamienia pętlę w sprawdzenie na dwie minuty.

Zasada komputera może zabronić zapisywania

Jedna wartość w konfiguracji usługi dostępu zdalnego może wyłączyć zapisywanie danych logowania dla całego komputera. Dopóki jest aktywna, zaznaczenie pola nic nie zmienia, bo klient nie ma gdzie położyć sekretu. Dlatego następna próba zaczyna się od pustego pola i żadne ustawienie na poziomie profilu nie może tego obejść. To pierwsza rzecz do przeczytania, bo to jedyna z trzech przyczyn, która dotyka wszystkich kont naraz.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Przeczytaj wartość, zanim odbudujesz połączenie, i traktuj tak skonfigurowany komputer jako zamierzony, a nie zepsuty: zero to stan normalny, a jedynka blokuje zapisywanie dla każdego profilu na komputerze. W zarządzanym urządzeniu poproś właściciela zasady o zmianę, zamiast edytować rejestr pod własnym kontem. Jedna aktualizacja przywróci starą wartość w ciągu tygodnia, a użytkownik dojdzie do wniosku, że poprawka nigdy nie działała. Dlatego lokalna zmiana wygląda później jak porażka. Zapytaj, czy ograniczenie jest zamierzone, zanim zaczniesz z nim walczyć.

Profil może leżeć w drugim magazynie

Windows trzyma jedną książkę telefoniczną na konto i jedną dla całego komputera, a połączenie utworzone w pierwszej jest niewidoczne dla drugiej. Objawem jest brakujące połączenie lub monit, który nigdy nie proponuje zapisanych danych logowania. Wypisanie obu zakresów kosztuje po jednym poleceniu i rozstrzyga sprawę w sekundach. Zrób to, zanim uznasz, że dane logowania przepadły.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Utwórz profil z opcją dla wszystkich użytkowników, gdy każde konto na komputerze musi go używać. Lista pokazuje też metodę uwierzytelniania obok każdej nazwy, co od razu zawęża dochodzenie. Zakres decyduje, gdzie mieszka konfiguracja; nie zamienia połączenia w tunel urządzenia ani nie udostępnia danych logowania jednego użytkownika wszystkim. Wpływa też na uruchamianie, bo konto usługi, które dzwoni przy starcie, nie widzi profilu utworzonego w magazynie użytkownika.

Kreator mógł nigdy nie zapisać metody

Kreator IKEv2 ma starą szorstką krawędź. Wybór uwierzytelniania nazwą użytkownika i hasłem nie zawsze się zapisuje, a następna wizyta w kreatorze znów pokazuje wpis ogólny. Zapisana wartość jest tym, co klient sprawdza przy połączeniu, więc brakująca metoda wygląda dokładnie jak brakujące hasło. Zostaje profil bez metody uwierzytelniania, a to zostawia zapisany sekret bez niczego, do czego można go przywiązać.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

Jawne ustawienie metody całkowicie omija okno dialogowe, a odczytanie wartości z powrotem dowodzi, co zapisano. Wartość, która sama wraca, oznacza, że coś innego przepisuje profil.

Potwierdź wylogowaniem, nie ponownym połączeniem

Ponowne połączenie w tej samej sesji używa stanu, który prawdziwe logowanie odbudowuje, więc może całkowicie ukryć problem z magazynem. Wyloguj się, zaloguj ponownie i uruchom połączenie, obserwując, czy dane logowania są proponowane, czy wymagane. Potem uruchom listy jeszcze raz, bo profil powinien pojawić się w oczekiwanym magazynie, a metoda powinna pozostać tą ustawioną. Ponowna próba w tej samej sesji dowodzi tylko, że buforowane dane logowania wciąż były w pamięci.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Jeśli monit mimo to wróci, pozostałym kandydatem jest sama metoda albo odświeżenie zasad po cichu przywróciło pierwotne ograniczenie. Sprawdź te dwa, zanim przeinstalujesz klienta, który nigdy nie był w to zamieszany. Oba zostawiają własny ślad w wynikach listy.

Zapisz przyczynę, którą zmieniłeś, i dowód, który ją potwierdził. Odświeżenie profilu może przywrócić puste pole, a notatka jest tym, co czyni powtórkę tanią.