Por que o Windows continua pedindo a senha da VPN

A senha está salva, a caixa está marcada, e a conexão seguinte ainda pede a credencial. Esse ciclo tem três causas possíveis no Windows: uma política para a máquina inteira que proíbe salvar, um perfil que mora num armazenamento diferente da conta que o usa, ou um método de autenticação que o assistente de perfis nunca anotou. Cada uma se corrige em outro lugar, e mudar a errada dá a impressão reconfortante de progresso enquanto a caixa continua vazia. Nomear a causa primeiro é o que transforma o ciclo numa verificação de dois minutos.

Uma política da máquina pode proibir salvar

Um único valor na configuração do serviço de acesso remoto pode desativar o salvamento de credenciais para o computador inteiro. Enquanto estiver ativo, marcar a caixa não muda nada, porque o cliente não tem onde colocar o segredo. Por isso a próxima tentativa começa com um campo vazio, e nenhum ajuste no nível do perfil pode anulá-lo. Esta é a primeira coisa a ler, porque é a única das três causas que afeta todas as contas de uma vez.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Leia o valor antes de reconstruir a conexão, e trate uma máquina configurada assim como algo intencional e não como algo quebrado: zero é o estado normal e um bloqueia o salvamento para cada perfil da máquina. Num dispositivo gerenciado, peça ao dono da política para mudá-la em vez de editar o registro com a sua própria conta. Uma atualização restaurará o valor antigo dentro de uma semana, e o usuário vai concluir que a correção nunca funcionou. É por isso que uma edição local parece um fracasso mais tarde. Pergunte se a restrição é intencional antes de lutar contra ela.

O perfil pode estar no outro armazenamento

O Windows mantém uma lista telefônica por conta e uma para a máquina inteira, e uma conexão criada na primeira é invisível para a segunda. O sintoma é uma conexão ausente ou um aviso que nunca oferece a credencial salva. Listar os dois escopos custa um comando cada e resolve a questão em segundos. Faça isso antes de decidir que a credencial se perdeu.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Crie o perfil com a opção para todos os usuários quando cada conta da máquina precisar usá-lo. A listagem também mostra o método de autenticação ao lado de cada nome, o que estreita a investigação de imediato. O escopo decide onde a configuração mora; ele não transforma a conexão num túnel de dispositivo nem compartilha a credencial de um usuário com todo mundo. Também interfere na inicialização, porque uma conta de serviço que disca no boot não vê um perfil criado num armazenamento de usuário.

O assistente pode nunca ter anotado o método

O assistente do IKEv2 tem uma aresta áspera antiga. Selecionar a autenticação com nome de usuário e senha nem sempre é salvo, e a visita seguinte ao assistente apresenta de novo a entrada genérica. O valor salvo é o que o cliente consulta na hora de conectar, então um método ausente parece exatamente uma senha ausente. O que resta é um perfil sem método de autenticação, o que deixa um segredo salvo sem nada a que se ligar.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

Definir o método explicitamente evita a caixa de diálogo por completo, e reler o valor prova o que foi escrito. Um valor que volta sozinho significa que outra coisa está reescrevendo o perfil.

Confirme com um logoff, não com uma reconexão

Reconectar dentro da mesma sessão reutiliza um estado que um logon real reconstrói, então pode esconder completamente um problema de armazenamento. Encerre a sessão, entre de novo e inicie a conexão observando se uma credencial é oferecida ou pedida. Depois execute as listagens outra vez, porque o perfil deve aparecer no armazenamento que você espera e o método deve continuar sendo o que você definiu. Uma nova tentativa na mesma sessão prova apenas que a credencial em cache ainda estava na memória.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Se o aviso voltar mesmo assim, o candidato restante é o próprio método, ou uma atualização de política restaurou a restrição original em silêncio. Verifique esses dois antes de reinstalar um cliente que nunca esteve envolvido. Ambos deixam o seu próprio rastro na saída da listagem.

Anote a causa que você mudou e a evidência que a confirmou. Uma atualização do perfil pode trazer a caixa vazia de volta, e a nota é o que torna a repetição barata.