Почему Windows снова и снова спрашивает пароль VPN

Пароль сохранён, флажок установлен, а следующее подключение всё равно запрашивает учётные данные. У этого цикла в Windows три возможные причины: политика для всей машины, запрещающая сохранение, профиль, который живёт в другом хранилище, чем использующая его учётная запись, или способ проверки подлинности, который мастер профилей так и не записал. Каждая исправляется в другом месте, и изменение не той создаёт успокаивающее впечатление прогресса, пока поле остаётся пустым. Именно название причины первым превращает цикл в проверку на две минуты.

Политика машины может запретить сохранение

Одно единственное значение в конфигурации службы удалённого доступа может отключить сохранение учётных данных для всего компьютера. Пока оно активно, установка флажка ничего не меняет, потому что клиенту негде хранить секрет. Поэтому следующая попытка начинается с пустого поля, и никакая настройка уровня профиля не может это обойти. Это первое, что стоит прочитать, потому что это единственная из трёх причин, которая затрагивает все учётные записи сразу.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Прочитайте значение, прежде чем перестраивать подключение, и считайте так настроенную машину намеренной, а не сломанной: ноль — нормальное состояние, а единица блокирует сохранение для каждого профиля на машине. На управляемом устройстве попросите владельца политики изменить её, вместо того чтобы править реестр под своей учётной записью. Одно обновление вернёт старое значение в течение недели, и пользователь решит, что исправление никогда не работало. Поэтому локальная правка позже выглядит как провал. Спросите, намеренно ли ограничение, прежде чем с ним бороться.

Профиль может лежать в другом хранилище

Windows хранит одну телефонную книгу на учётную запись и одну на всю машину, и подключение, созданное в первой, невидимо для второй. Симптом — отсутствующее подключение или запрос, который никогда не предлагает сохранённые учётные данные. Перечисление обеих областей требует по одной команде и решает вопрос за секунды. Сделайте это, прежде чем решить, что учётные данные потеряны.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Создайте профиль с параметром для всех пользователей, когда его должна использовать каждая учётная запись на машине. Список также показывает способ проверки подлинности рядом с каждым именем, что сразу сужает поиск. Область решает, где живёт конфигурация; она не превращает подключение в туннель устройства и не делит учётные данные одного пользователя со всеми. Она также влияет на запуск, потому что служебная учётная запись, которая дозванивается при загрузке, не видит профиль, созданный в пользовательском хранилище.

Мастер мог так и не записать способ

У мастера IKEv2 есть давняя шероховатость. Выбор проверки подлинности по имени пользователя и паролю сохраняется не всегда, и следующий заход в мастер снова показывает общую запись. Сохранённое значение — это то, к чему клиент обращается при подключении, поэтому отсутствующий способ выглядит точно как отсутствующий пароль. Остаётся профиль без способа проверки подлинности, и это оставляет сохранённый секрет без ничего, к чему его можно привязать.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

Явная установка способа полностью обходит диалог, а чтение значения обратно доказывает, что было записано. Значение, которое возвращается само, означает, что профиль перезаписывает что-то другое.

Подтвердите выходом из системы, а не повторным подключением

Повторное подключение в рамках одного сеанса использует состояние, которое настоящий вход строит заново, поэтому может полностью скрыть проблему хранилища. Выйдите из системы, войдите снова и запустите подключение, наблюдая, предлагаются учётные данные или запрашиваются. Затем снова запустите списки, потому что профиль должен появиться в ожидаемом хранилище, а способ должен остаться тем, который вы задали. Повторная попытка в том же сеансе доказывает лишь то, что кэшированные учётные данные ещё были в памяти.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Если запрос всё равно возвращается, оставшийся кандидат — сам способ, или обновление политики тихо вернуло исходное ограничение. Проверьте эти две вещи, прежде чем переустанавливать клиент, который никогда не участвовал. Оба оставляют свой след в выводе списка.

Запишите причину, которую вы изменили, и доказательство, которое её подтвердило. Обновление профиля может вернуть пустое поле, и именно заметка делает повторение дешёвым.