De ce Windows cere din nou și din nou parola VPN

Parola este salvată, caseta este bifată, iar următoarea conexiune cere totuși acreditările. Această buclă are trei cauze posibile în Windows: o politică pentru întreaga mașină care interzice salvarea, un profil care stă într-un alt depozit decât contul care îl folosește, sau o metodă de autentificare pe care expertul de profiluri nu a notat-o niciodată. Fiecare se repară în alt loc, iar schimbarea celei greșite dă impresia liniștitoare de progres în timp ce caseta rămâne goală. Numirea cauzei mai întâi este ce transformă bucla într-o verificare de două minute.

O politică a mașinii poate interzice salvarea

O singură valoare din configurația serviciului de acces la distanță poate opri salvarea acreditărilor pentru întregul computer. Cât timp este activă, bifarea casetei nu schimbă nimic, pentru că clientul nu are unde pune secretul. De aceea următoarea încercare începe cu un câmp gol, iar nicio setare la nivel de profil nu o poate anula. Acesta este primul lucru de citit, pentru că este singura dintre cele trei cauze care afectează toate conturile deodată.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Citiți valoarea înainte de a reconstrui conexiunea și tratați o mașină configurată astfel ca intenționată, nu ca defectă: zero este starea normală, iar unu blochează salvarea pentru fiecare profil de pe mașină. Pe un dispozitiv administrat, cereți proprietarului politicii să o schimbe în loc să editați registrul sub propriul cont. O actualizare va readuce vechea valoare într-o săptămână, iar utilizatorul va trage concluzia că remedierea nu a funcționat niciodată. De aceea o modificare locală pare mai târziu un eșec. Întrebați dacă restricția este intenționată înainte de a lupta cu ea.

Profilul poate sta în celălalt depozit

Windows ține o agendă telefonică pentru fiecare cont și una pentru întreaga mașină, iar o conexiune creată în prima este invizibilă pentru a doua. Simptomul este o conexiune lipsă sau un mesaj care nu oferă niciodată acreditările salvate. Listarea ambelor domenii costă o comandă pentru fiecare și lămurește întrebarea în câteva secunde. Faceți asta înainte de a decide că acreditările s-au pierdut.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Creați profilul cu opțiunea pentru toți utilizatorii când fiecare cont de pe mașină trebuie să îl folosească. Lista arată și metoda de autentificare lângă fiecare nume, ceea ce restrânge imediat investigația. Domeniul decide unde locuiește configurația; el nu transformă conexiunea într-un tunel de dispozitiv și nu împărtășește acreditările unui utilizator cu toată lumea. Influențează și pornirea, pentru că un cont de serviciu care apelează la boot nu vede un profil creat într-un depozit de utilizator.

Expertul poate să nu fi notat niciodată metoda

Expertul IKEv2 are o margine aspră de mult timp. Selectarea autentificării cu nume de utilizator și parolă nu este întotdeauna salvată, iar următoarea vizită la expert arată din nou intrarea generică. Valoarea salvată este ceea ce consultă clientul la conectare, așa că o metodă lipsă arată exact ca o parolă lipsă. Ce rămâne este un profil fără metodă de autentificare, ceea ce lasă un secret salvat fără nimic de care să se lege.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

Setarea explicită a metodei evită complet dialogul, iar citirea valorii înapoi dovedește ce s-a scris. O valoare care revine singură înseamnă că altceva rescrie profilul.

Confirmați cu o deconectare, nu cu o reconectare

Reconectarea în aceeași sesiune refolosește o stare pe care o autentificare reală o reconstruiește, deci poate ascunde complet o problemă a depozitului. Deconectați-vă, conectați-vă din nou și porniți conexiunea urmărind dacă acreditările sunt oferite sau cerute. Apoi rulați din nou listările, pentru că profilul ar trebui să apară în depozitul așteptat, iar metoda ar trebui să rămână cea setată. O nouă încercare în aceeași sesiune dovedește doar că acreditările din cache erau încă în memorie.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Dacă mesajul revine totuși, candidatul rămas este metoda în sine, sau o actualizare de politică a readus în liniște restricția originală. Verificați aceste două înainte de a reinstala un client care nu a fost niciodată implicat. Ambele lasă propria urmă în rezultatul listării.

Notați cauza pe care ați schimbat-o și dovada care a confirmat-o. O actualizare a profilului poate readuce caseta goală, iar nota este ce face repetarea ieftină.