Почему Windows предлагает пароль VPN файловому серверу

Windows может поднять туннель и затем предложить ту же учётную запись файловому серверу, который о ней никогда не слышал. Шлюз принял вход; общая папка нет, и повторный ввод пароля ничего не меняет. Отключение хранения учётных данных для всего компьютера выглядит решением и им не является. Встроенное подключение RAS несёт переключатель на профиль, который выражает именно это намерение.

Определите, какая учётная запись была отклонена

Прочитайте запрос, а не закрывайте его. Имя сервера в диалоге, домен, напечатанный рядом с именем пользователя, и то, появился ли запрос до или после формирования туннеля, указывают каждый на своё. Отказ, называющий общую папку, не то же самое, что отказ, называющий хост.

Прежде чем спорить об идентичности, убедитесь, что ресурс вообще отвечает. Отсутствующий маршрут, опечатка в имени сервера и учётная запись без прав на общую папку дают три разных симптома, и только последний касается идентичности, которую предложил Windows. Проверьте, является ли отклонённая учётная запись учётной записью шлюза. Если вход в VPN — это идентичность удалённого доступа, принадлежащая шлюзу, а не учётная запись каталога, у файлового сервера нет причин её распознавать, и повторный ввод того же пароля лишь повторяет тот же отказ. Это различие решает, относится ли к вам следующий раздел вообще.

Задайте UseRasCredentials для одного профиля

Поле называется UseRasCredentials, и значение ноль не позволяет этому одному подключению предлагать свои учётные данные RAS сетевым ресурсам. Изменение ограничено профилем, и в этом весь смысл: у него одно документированное значение, и оно не затрагивает ничего другого на машине.

Политика безопасности, блокирующая сохранённые учётные данные для сетевой проверки подлинности, делает наоборот, поскольку применяется к каждому подключению на компьютере. Её использование здесь изменило бы поведение для каждого ресурса, который пользователь откроет на следующей неделе, поэтому она остаётся за пределами этого исправления. UseRasCredentials также является функцией RAS, поэтому сторонний клиент с собственной обработкой учётных данных проигнорирует его. Для таких клиентов документация поставщика — единственный источник о том, можно ли изменить поведение. Проверьте, какому клиенту принадлежит подключение, прежде чем редактировать файл, который этот клиент никогда не читает.

Отредактируйте телефонную книгу, которой принадлежит подключение

Найдите телефонную книгу, которой принадлежит подключение, прежде чем открывать редактор. Подключение, созданное пользователем, находится в пути данных приложений роуминга, а созданное для всех пользователей — в каталоге данных программ; эти два файла независимы. Редактирование неправильного ничего не меняет, и сбой после этого выглядит так же.

Перечислите оба расположения и подтвердите полный путь файла, который собираетесь редактировать. Файл под неправильным профилем будет проигнорирован даже после правильного изменения, и второй сбой выглядит точно как первый.

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

Внутри раздела с точным именем подключения переключатель — это одна строка. Измените только это значение и оставьте каждый другой раздел как было.

UseRasCredentials=1   becomes   UseRasCredentials=0

Замена по всему файлу для каждого подключения в телефонной книге — это не изменение одного профиля, и она всплывает недели спустя, когда кто-то отлаживает несвязанный туннель. Держите резервную копию рядом с файлом, пока изменение не проверено. Если устройство управляется, настройку следует менять в принадлежащем ему развёртывании, а не в файле под профилем пользователя. Поддерживаемые версии Windows предоставляют эквивалент для профиля через поставщика службы конфигурации VPNv2, и его требования к версии нужно проверять отдельно от требований поставщика в целом.

Проверьте новым подходом

Отключитесь, закройте сеанс, который был открыт, и попробуйте снова. Существующий подключённый диск или открытый дескриптор файла может продолжать использовать идентичность, с которой уже прошёл проверку подлинности, поэтому всё, что работает через старый сеанс, ничего не доказывает об изменении. Сначала подтвердите изменённое значение с достаточным контекстом, чтобы показать, к какому разделу оно относится.

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

Затем подтвердите, какую идентичность ресурс фактически получил. Общая папка, которая по-прежнему отказывает в доступе с правильной учётной записью, — это проблема авторизации, и ответ находится в собственном журнале файлового сервера. документированное описание этой настройки охватывает развёртывание, где идентичность VPN отличается от идентичности каталога, и его стоит прочитать, прежде чем предполагать, что поле относится к вашему клиенту. Запишите изменение, путь к телефонной книге и учётную запись, которую ресурс видит теперь, потому что следующий человек, столкнувшийся с этим, начинает с той же путаницы.