Por que o Windows oferece a senha VPN a um servidor de arquivos

O Windows pode levantar um túnel e depois oferecer a mesma conta a um servidor de arquivos que nunca ouviu falar dela. O gateway aceitou o logon; o compartilhamento não, e digitar a senha de novo não muda nada. Desativar o armazenamento de credenciais para o computador inteiro parece a solução e não é. Uma conexão RAS nativa traz um comutador por perfil que declara exatamente essa intenção.

Identifique qual conta foi recusada

Leia o aviso em vez de descartá-lo. O nome do servidor na caixa de diálogo, o domínio impresso ao lado do nome de usuário e se o aviso surgiu antes ou depois de o túnel se formar apontam cada um para um lugar diferente. Uma falha que nomeia um compartilhamento não é a mesma que nomeia um host.

Confirme que o recurso responde antes de discutir identidade. Uma rota ausente, um erro de digitação no nome do servidor e uma conta sem permissões de compartilhamento produzem três sintomas diferentes, e só o último diz respeito à identidade que o Windows ofereceu. Verifique se a conta recusada é a conta do gateway. Se o logon da VPN é uma identidade de acesso remoto pertencente ao gateway e não uma conta de diretório, o servidor de arquivos não tem motivo para reconhecê-la, e digitar a mesma senha de novo só repete a mesma recusa. Essa distinção decide se a seção seguinte se aplica ao seu caso.

Defina UseRasCredentials em um perfil

O campo é UseRasCredentials, e um valor zero impede que essa conexão ofereça suas credenciais RAS aos recursos de rede. A alteração fica restrita a um perfil, e é justamente esse o ponto: tem um único significado documentado e não toca em mais nada da máquina.

A política de segurança que bloqueia credenciais armazenadas para autenticação de rede faz o contrário, pois se aplica a todas as conexões do computador. Usá-la aqui mudaria o comportamento de todos os recursos que o usuário abrir na próxima semana, por isso fica fora deste reparo. UseRasCredentials também é um recurso de RAS, então um cliente de terceiros com gestão própria de credenciais vai ignorá-lo. Para esses clientes, a documentação do fornecedor é a única autoridade sobre se o comportamento pode ser alterado. Verifique qual cliente é dono da conexão antes de editar um arquivo que esse cliente nunca lê.

Edite a lista telefônica que possui a conexão

Encontre a lista telefônica que possui a conexão antes de abrir um editor. Uma conexão criada pelo usuário fica no caminho de dados de aplicativos móveis, e uma criada para todos os usuários fica sob o diretório de dados de programas; os dois arquivos são independentes. Editar o errado não muda nada, e a falha parece idêntica depois.

Liste os dois locais e confirme o caminho completo do arquivo que pretende editar. Um arquivo sob o perfil errado será ignorado mesmo depois de você alterá-lo corretamente, e a segunda falha parece exatamente a primeira.

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

Dentro da seção que traz o nome exato da conexão, o comutador é uma linha. Altere apenas esse valor e deixe todas as outras seções como estavam.

UseRasCredentials=1   becomes   UseRasCredentials=0

Uma substituição em todo o arquivo para cada conexão da lista telefônica não é uma alteração de um só perfil, e aparece semanas depois quando alguém depura um túnel não relacionado. Mantenha a cópia de segurança ao lado do arquivo até a alteração ser verificada. Se o dispositivo é gerenciado, a implantação proprietária é onde a configuração deve mudar, não um arquivo sob o perfil do usuário. As versões compatíveis do Windows expõem um equivalente por perfil por meio do provedor de serviços de configuração VPNv2, e seus requisitos de versão precisam ser verificados separadamente dos do provedor como um todo.

Verifique com uma nova tentativa

Desconecte, feche a sessão que estava aberta e tente de novo. Uma unidade mapeada existente ou um identificador de arquivo aberto podem continuar usando a identidade com que já se autenticaram, então nada que funcione por uma sessão antiga prova algo sobre a alteração. Confirme primeiro o valor editado, com contexto suficiente para mostrar a que seção ele pertence.

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

Depois confirme qual identidade o recurso realmente recebeu. Um compartilhamento que ainda recusa acesso com a conta correta é um problema de autorização, e o log do próprio servidor de arquivos é onde essa resposta está. A descrição documentada desta configuração abrange a implantação em que a identidade da VPN difere da identidade do diretório, e vale a pena lê-la antes de presumir que o campo se aplica ao seu cliente. Anote a alteração, o caminho da lista telefônica e a conta que o recurso vê agora, porque a próxima pessoa que esbarrar nisso começa da mesma confusão.