De ce Windows oferă parola VPN unui server de fișiere

Windows poate ridica un tunel și apoi poate oferi același cont unui server de fișiere care nu a auzit niciodată de el. Gateway-ul a acceptat autentificarea; partajarea nu, iar rescrierea parolei nu schimbă nimic. Dezactivarea stocării acreditărilor pentru tot calculatorul pare soluția și nu este. O conexiune RAS nativă are un comutator pe profil care exprimă exact această intenție.

Identificați ce cont a fost respins

Citiți solicitarea în loc să o închideți. Numele serverului din dialog, domeniul tipărit lângă numele de utilizator și dacă solicitarea a apărut înainte sau după formarea tunelului indică fiecare în alt loc. O eroare care numește o partajare nu este aceeași cu una care numește un host.

Înainte de a discuta despre identitate, confirmați că resursa răspunde măcar. O rută lipsă, o greșeală de tastare în numele serverului și un cont fără permisiuni de partajare produc trei simptome diferite, iar doar ultimul privește identitatea oferită de Windows. Verificați dacă contul respins este contul gateway-ului. Dacă autentificarea VPN este o identitate de acces la distanță deținută de gateway și nu un cont de director, serverul de fișiere nu are niciun motiv să o recunoască, iar rescrierea aceleiași parole doar repetă aceeași respingere. Această distincție decide dacă secțiunea următoare vi se aplică.

Setați UseRasCredentials pe un profil

Câmpul este UseRasCredentials, iar valoarea zero împiedică acea conexiune să ofere acreditările sale RAS resurselor de rețea. Modificarea este limitată la un profil și exact acesta este ideea: are o singură semnificație documentată și nu atinge nimic altceva de pe mașină.

Politica de securitate care blochează acreditările stocate pentru autentificarea în rețea face opusul, pentru că se aplică fiecărei conexiuni de pe calculator. Folosirea ei aici ar schimba comportamentul fiecărei resurse pe care utilizatorul o deschide săptămâna viitoare, așa că rămâne în afara acestei reparații. UseRasCredentials este și o funcție RAS, așa că un client terț cu propria gestionare a acreditărilor o va ignora. Pentru astfel de clienți documentația furnizorului este singura autoritate privind posibilitatea schimbării comportamentului. Verificați care client deține conexiunea înainte de a edita un fișier pe care acel client nu îl citește niciodată.

Editați agenda telefonică ce deține conexiunea

Găsiți agenda telefonică ce deține conexiunea înainte de a deschide un editor. O conexiune creată de utilizator se află în calea datelor de aplicații roaming, iar una creată pentru toți utilizatorii se află sub directorul de date al programelor; cele două fișiere sunt independente. Editarea celui greșit nu schimbă nimic, iar eșecul arată identic după aceea.

Enumerați ambele locații și confirmați calea completă a fișierului pe care intenționați să îl editați. Un fișier sub profilul greșit va fi ignorat chiar și după ce îl modificați corect, iar al doilea eșec arată exact ca primul.

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

În interiorul secțiunii care poartă numele exact al conexiunii, comutatorul este o singură linie. Modificați doar acea valoare și lăsați fiecare altă secțiune așa cum era.

UseRasCredentials=1   becomes   UseRasCredentials=0

O înlocuire pe tot fișierul pentru fiecare conexiune din agendă nu este o modificare a unui singur profil și apare săptămâni mai târziu când cineva depanează un tunel nelegat. Păstrați copia de siguranță lângă fișier până când modificarea este verificată. Dacă dispozitivul este administrat, setarea trebuie schimbată în implementarea care îl deține, nu într-un fișier sub profilul utilizatorului. Versiunile Windows acceptate expun un echivalent pe profil prin furnizorul de servicii de configurare VPNv2, iar cerințele de versiune trebuie verificate separat de cele ale furnizorului în ansamblu.

Verificați cu o încercare nouă

Deconectați-vă, închideți sesiunea care era deschisă și încercați din nou. O unitate mapată existentă sau un handle de fișier deschis pot continua să folosească identitatea cu care s-au autentificat deja, așa că nimic care funcționează printr-o sesiune veche nu dovedește nimic despre modificare. Confirmați mai întâi valoarea editată, cu suficient context pentru a arăta cărei secțiuni îi aparține.

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

Apoi confirmați ce identitate a primit efectiv resursa. O partajare care refuză în continuare accesul cu contul corect este o problemă de autorizare, iar jurnalul serverului de fișiere este locul unde se află răspunsul. descrierea documentată a acestei setări acoperă implementarea în care identitatea VPN diferă de identitatea directorului, și merită citită înainte de a presupune că câmpul se aplică clientului dvs. Notați modificarea, calea agendei telefonice și contul pe care resursa îl vede acum, pentru că următoarea persoană care se lovește de asta pornește din aceeași confuzie.