Dlaczego Windows podaje hasło VPN serwerowi plików

Windows potrafi zestawić tunel, a potem zaproponować to samo konto serwerowi plików, który o nim nigdy nie słyszał. Brama przyjęła logowanie; udział nie, a ponowne wpisanie hasła niczego nie zmienia. Wyłączenie przechowywania poświadczeń dla całego komputera wygląda na rozwiązanie i nim nie jest. Natywne połączenie RAS ma przełącznik na profil, który wyraża dokładnie ten zamiar.

Ustal, które konto zostało odrzucone

Przeczytaj monit, zamiast go zamykać. Nazwa serwera w oknie dialogowym, domena wydrukowana obok nazwy użytkownika i to, czy monit pojawił się przed czy po zestawieniu tunelu, wskazują za każdym razem na coś innego. Błąd, który nazywa udział, to nie ten sam błąd, który nazywa hosta.

Zanim zaczniesz spierać się o tożsamość, potwierdź, że zasób w ogóle odpowiada. Brak trasy, literówka w nazwie serwera i konto bez uprawnień do udziału dają trzy różne objawy, i tylko ostatni dotyczy tożsamości zaproponowanej przez Windows. Sprawdź, czy odrzucone konto to konto bramy. Jeśli logowanie VPN jest tożsamością dostępu zdalnego należącą do bramy, a nie kontem katalogowym, serwer plików nie ma powodu jej rozpoznawać, a ponowne wpisanie tego samego hasła tylko powtarza to samo odrzucenie. Ta różnica decyduje, czy następna sekcja w ogóle cię dotyczy.

Ustaw UseRasCredentials na jednym profilu

Pole nazywa się UseRasCredentials, a wartość zero powstrzymuje to jedno połączenie przed oferowaniem swoich poświadczeń RAS zasobom sieciowym. Zmiana jest ograniczona do profilu i właśnie o to chodzi: ma jedno udokumentowane znaczenie i nie dotyka niczego innego na maszynie.

Zasada zabezpieczeń blokująca zapisane poświadczenia do uwierzytelniania sieciowego działa odwrotnie, bo dotyczy każdego połączenia na komputerze. Użycie jej tutaj zmieniłoby zachowanie każdego zasobu, który użytkownik otworzy w przyszłym tygodniu, dlatego zostaje poza tą naprawą. UseRasCredentials jest także funkcją RAS, więc klient firmy trzeciej z własną obsługą poświadczeń zignoruje ją. Dla takich klientów dokumentacja dostawcy jest jedynym autorytetem w kwestii, czy zachowanie można zmienić. Sprawdź, który klient jest właścicielem połączenia, zanim edytujesz plik, którego ten klient nigdy nie czyta.

Edytuj książkę telefoniczną, do której należy połączenie

Znajdź książkę telefoniczną, do której należy połączenie, zanim otworzysz edytor. Połączenie utworzone przez użytkownika znajduje się w ścieżce danych aplikacji mobilnych, a utworzone dla wszystkich użytkowników w katalogu danych programów; oba pliki są niezależne. Edycja niewłaściwego niczego nie zmienia, a błąd wygląda potem identycznie.

Wypisz obie lokalizacje i potwierdź pełną ścieżkę pliku, który zamierzasz edytować. Plik w niewłaściwym profilu zostanie zignorowany nawet po poprawnej zmianie, a drugi błąd wygląda dokładnie jak pierwszy.

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

W sekcji z dokładną nazwą połączenia przełącznik to jedna linia. Zmień tylko tę wartość i pozostaw każdą inną sekcję tak, jak była.

UseRasCredentials=1   becomes   UseRasCredentials=0

Zamiana w całym pliku dla każdego połączenia w książce telefonicznej nie jest zmianą jednego profilu i wychodzi na jaw tygodnie później, gdy ktoś debuguje niepowiązany tunel. Trzymaj kopię zapasową obok pliku, dopóki zmiana nie zostanie zweryfikowana. Jeśli urządzenie jest zarządzane, ustawienie należy zmienić we wdrożeniu, które je posiada, a nie w pliku w profilu użytkownika. Obsługiwane wersje Windows udostępniają odpowiednik na profil przez dostawcę usług konfiguracji VPNv2, a jego wymagania dotyczące wersji trzeba sprawdzić osobno od wymagań dostawcy jako całości.

Zweryfikuj nową próbą

Rozłącz się, zamknij sesję, która była otwarta, i spróbuj ponownie. Istniejący dysk mapowany lub otwarty uchwyt pliku może nadal używać tożsamości, z którą już się uwierzytelnił, więc nic, co działa przez starą sesję, nie dowodzi niczego o zmianie. Najpierw potwierdź edytowaną wartość, z wystarczającym kontekstem, by pokazać, do której sekcji należy.

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

Następnie potwierdź, jaką tożsamość zasób faktycznie otrzymał. Udział, który nadal odmawia dostępu przy poprawnym koncie, to problem autoryzacji, a odpowiedź znajduje się we własnym logu serwera plików. udokumentowany opis tego ustawienia obejmuje wdrożenie, w którym tożsamość VPN różni się od tożsamości katalogu, i warto go przeczytać, zanim założysz, że pole dotyczy twojego klienta. Zapisz zmianę, ścieżkę książki telefonicznej i konto, które zasób teraz widzi, bo następna osoba, która na to trafi, zaczyna od tego samego zamieszania.