Ваш Mac отправляет неверную учётную запись Windows через RDP

Туннель переподключается, Mac снова попадает в офисную сеть, а «Удалённый рабочий стол» по-прежнему отвечает ошибкой входа. Эта ошибка не от VPN. Туннель выводит Mac в разрешённую сеть; на удалённый компьютер входит учётная запись Windows, и запись подключения может продолжать отправлять учётную запись, которой вы перестали пользоваться несколько месяцев назад.

Проверьте запись, прежде чем трогать связку ключей.

Учётная запись VPN и учётная запись Windows — разные вещи

Идентификатор VPN аутентифицирует устройство или человека на шлюзе туннеля. Он ничего не говорит о том, какую учётную запись Windows примет удалённый хост, и не может её заменить. Когда туннель в порядке, а рабочий стол отклоняет вход, проблема уже вышла за пределы сетевого уровня. Рассматривайте обе аутентификации как отдельные события с отдельными журналами. Шлюз может показывать чистую сессию, пока журнал безопасности Windows фиксирует неудачный вход совсем по другой причине.

Предположим, администратор сказал использовать EXAMPLE\alex, а сохранённая запись по-прежнему выбирает голое alex. Это разные учётные записи. Неквалифицированное имя разрешается по локальным учётным записям удалённого компьютера, и на машине, входящей в домен, оно может вообще не разрешиться в доменное удостоверение.

Поэтому удаление доменного префикса — не универсальный ремонт. Оно меняет, какая учётная запись запрашивается, и может дать отказ, который выглядит как проблема с паролем, хотя пароль никогда не был причиной.

Откройте запись подключения, а не всю связку ключей

В текущем Windows App для macOS найдите удалённый компьютер в разделе «Устройства», откройте действие «Изменить» и посмотрите на учётную запись, привязанную именно к этой записи. Приложение показывает элементы управления сохранёнными учётными данными, позволяющие выбрать другую сохранённую запись или удалить устаревшую. Это поддерживаемое место для исправления выбора. Меняйте по одному свойству за раз, чтобы понимать, какое изменение действительно имело значение. Изменение учётных данных и изменение имени хоста, сделанные вместе, дают результат, который никто не сможет отнести на счёт одного из них.

Не начинайте с удаления каждого элемента связки ключей, в имени которого есть имя сервера. Элементы связки ключей общие для приложений, и широкое удаление может убрать посторонний доступ, ничего не изменив на стороне Windows. Оно также уничтожает доказательства, которые понадобятся, если настоящей проблемой окажется имя хоста, маршрут или служба RDP.

Если одни сохранённые учётные данные используются несколькими удалёнными компьютерами, проверьте эти зависимости перед удалением. Редактирование записи для одного компьютера обратимо; удаление общих учётных данных — изменение с более широким радиусом действия и худшим следом аудита.

Используйте ту форму учётной записи, которую выдал администратор

Введите учётную запись точно так, как она была выдана, в форме, которую ожидает среда: DOMAIN\user для домена в стиле NetBIOS или user principal name, если именно это использует каталог. Затем сохраните её для этого компьютера и сделайте одну осознанную попытку подключения.

Следите, какую учётную запись показывает запрос на вход. Если в запросе уже другое имя, значит сохранённый выбор не был заменён, и только что сделанная попытка снова проверила старые учётные данные.

Держите пароль подальше от заметок, заявок и снимков экрана. Записывайте вместо этого имя учётной записи и точный код ошибки, потому что код отличает неверные учётные данные от отказа по политике, истёкшего пароля или машины, которая вообще не принимает RDP.

Неудачное подключение до входа — это другая неисправность

Если программа просмотра сбоит до появления любого входа Windows, учётные данные ни при чём. Проверьте, разрешается ли имя хоста, есть ли маршрут к хосту через туннель и слушает ли служба RDP. TCP-соединение, которое так и не устанавливается, никогда не доходит до уровня учётных записей.

И наоборот, явный отказ учётной записи не доказывает, что DNS сломан или что проверку сертификатов нужно ослабить. Такие изменения ослабляют соединение и обычно оставляют отказ ровно там, где он был.

Проверяйте минимальными шагами: убедитесь, что порт доступен, что появился запрос на вход, что показана нужная учётная запись, затем введите пароль. У каждого шага своя неисправность и своё исправление.

Оставьте автоматическое переподключение в покое

Автоматическое переподключение использует существующую запись, включая её сохранённую учётную запись. Это удобство, а не ремонт учётных данных, поэтому его отключение не исправляет неверный выбор, а включение не создаёт его. Если в записи теперь правильная учётная запись, переподключение воспользуется ею.

Сохраните исправленную запись, один раз подключитесь вручную и запишите, какая учётная запись сработала. Именно эта одна строка делает диагностику следующего человека пятиминутной, а не целым послеобеденным расследованием в связке ключей.