O seu Mac envia a conta Windows errada através do RDP

O túnel volta a ligar-se, o Mac alcança novamente a rede do escritório, e a Área de Trabalho Remota continua a responder com uma falha de início de sessão. Esse erro não é do VPN. O túnel coloca o Mac numa rede aprovada; é uma conta Windows que inicia sessão no computador remoto, e a entrada de ligação pode continuar a enviar uma conta que deixou de usar há meses.

Reveja a entrada antes de tocar no porta-chaves.

A conta VPN e a conta Windows são coisas diferentes

Uma identidade VPN autentica o dispositivo ou a pessoa junto da gateway do túnel. Não diz nada sobre que conta Windows o anfitrião remoto vai aceitar, e não pode substituí-la. Quando o túnel está saudável e o ambiente de trabalho recusa o início de sessão, o problema já passou da camada de rede. Trate as duas autenticações como eventos separados com registos separados. A gateway pode mostrar uma sessão limpa enquanto o registo de segurança do Windows anota um início de sessão falhado por um motivo completamente diferente.

Suponha que o administrador lhe disse para usar EXAMPLE\alex e a entrada guardada continua a selecionar um alex simples. São contas diferentes. O nome não qualificado é resolvido contra as contas locais do computador remoto, e numa máquina associada a um domínio pode não ser resolvido de todo para a identidade do domínio.

Remover o prefixo de domínio não é, portanto, uma reparação genérica. Muda qual a conta pedida, e pode produzir uma recusa que parece um problema de palavra-passe quando a palavra-passe nunca foi o problema.

Abra a entrada de ligação, não o porta-chaves inteiro

Na aplicação Windows App atual para macOS, encontre o PC remoto em Dispositivos, abra a ação Editar e veja a conta associada a essa entrada específica. A aplicação expõe controlos de credenciais guardadas que permitem escolher outra conta guardada ou remover uma obsoleta. É o local suportado para corrigir a seleção. Altere uma propriedade de cada vez, para saber qual edição foi realmente relevante. Uma alteração de credenciais e uma alteração de nome de anfitrião feitas em conjunto produzem um resultado que ninguém consegue atribuir.

Não comece por apagar todos os itens do porta-chaves cujo nome contenha o nome do servidor. Os itens do porta-chaves são partilhados entre aplicações, e uma eliminação ampla pode retirar acesso não relacionado sem alterar nada do lado do Windows. Também destrói as provas de que precisaria se o problema real se revelasse o nome de anfitrião, a rota ou o serviço RDP.

Se uma credencial guardada for usada por vários PCs remotos, verifique essas dependências antes de a remover. Editar a entrada de um PC é reversível; apagar uma credencial partilhada é uma alteração com maior raio de impacto e pior rasto de auditoria.

Use a forma de conta fornecida pelo administrador

Escreva a conta exatamente como foi emitida, na forma que o ambiente espera: DOMAIN\user para um domínio ao estilo NetBIOS, ou o user principal name se for isso que o diretório usa. Depois guarde-a para este PC e faça uma tentativa de ligação deliberada.

Repare em que conta surge no pedido de início de sessão. Um pedido que já contém um nome diferente significa que a seleção guardada não foi substituída, e a tentativa que acabou de fazer voltou a testar as credenciais antigas.

Mantenha a palavra-passe fora de notas, tickets e capturas de ecrã. Anote antes o nome da conta e o código de erro exato, porque o código distingue credenciais erradas de uma recusa de política, uma palavra-passe expirada ou uma máquina que não aceita RDP de todo.

Uma ligação falhada antes do início de sessão é outra avaria

Se o visualizador falhar antes de aparecer qualquer início de sessão Windows, as credenciais não são o suspeito. Verifique se o nome de anfitrião é resolvido, se a rota até ao anfitrião existe pelo túnel e se o serviço RDP está à escuta. Uma ligação TCP que nunca se estabelece nunca chega à camada da conta.

Inversamente, uma recusa explícita de conta não é prova de que o DNS esteja avariado nem de que a validação de certificados deva ser relaxada. Essas alterações enfraquecem a ligação e costumam deixar a recusa exatamente onde estava.

Teste nos passos mais pequenos possível: confirme que a porta é alcançável, que aparece o pedido de início de sessão, que a conta mostrada é a que pretende, e só depois forneça a palavra-passe. Cada passo tem uma falha distinta e uma correção distinta.

Deixe a reconexão automática em paz

A reconexão automática reutiliza a entrada existente, incluindo a conta guardada. É uma comodidade, não uma reparação de credenciais, por isso desativá-la não corrige uma seleção errada e ativá-la não cria nenhuma. Se a entrada tiver agora a conta certa, a reconexão usá-la-á.

Guarde a entrada corrigida, ligue-se uma vez à mão e anote que conta funcionou. É essa única linha que faz o diagnóstico da próxima pessoa levar cinco minutos em vez de uma tarde de arqueologia do porta-chaves.