Prečo Windows ponúka heslo VPN súborovému serveru

Windows dokáže nadviazať tunel a potom ponúknuť ten istý účet súborovému serveru, ktorý o ňom nikdy nepočul. Brána prijala prihlásenie; zdieľanie nie, a prepísanie hesla nič nezmení. Vypnutie ukladania prihlasovacích údajov pre celý počítač vyzerá ako riešenie a nie je. Natívne pripojenie RAS nesie prepínač pre jeden profil, ktorý vyjadruje presne tento zámer.

Zistite, ktorý účet bol odmietnutý

Prečítajte si výzvu, namiesto toho, aby ste ju zavreli. Názov servera v dialógu, doména vytlačená vedľa používateľského mena a to, či výzva prišla pred alebo po vytvorení tunela, ukazujú každý na niečo iné. Zlyhanie, ktoré pomenúva zdieľanie, nie je to isté ako zlyhanie, ktoré pomenúva hostiteľa.

Skôr než sa budete hádať o identite, potvrďte, že zdroj vôbec odpovedá. Chýbajúca trasa, preklep v názve servera a účet bez oprávnení na zdieľanie dávajú tri rôzne príznaky, a len posledný sa týka identity, ktorú Windows ponúkol. Overte, či odmietnutý účet je účtom brány. Ak je prihlásenie VPN identitou vzdialeného prístupu, ktorú vlastní brána, a nie účtom z adresára, súborový server nemá dôvod ho rozpoznať, a prepísanie toho istého hesla len opakuje to isté odmietnutie. Tento rozdiel rozhoduje, či sa vás nasledujúca časť vôbec týka.

Nastavte UseRasCredentials na jednom profile

Pole sa nazýva UseRasCredentials, a hodnota nula zabráni tomu, aby toto jedno pripojenie ponúkalo svoje údaje RAS sieťovým zdrojom. Zmena je obmedzená na profil, a presne o to ide: má jeden dokumentovaný význam a ničoho iného na stroji sa nedotkne.

Bezpečnostná zásada, ktorá blokuje uložené prihlasovacie údaje na sieťové overovanie, robí opak, pretože platí pre každé pripojenie v počítači. Použiť ju tu by zmenilo správanie každého zdroja, ktorý používateľ budúci týždeň otvorí, preto zostáva mimo tejto opravy. UseRasCredentials je tiež funkcia RAS, takže klient tretej strany s vlastným spracovaním údajov ju bude ignorovať. Pre takýchto klientov je dokumentácia dodávateľa jedinou autoritou v otázke, či sa správanie dá zmeniť. Overte, ktorý klient pripojenie vlastní, skôr než začnete upravovať súbor, ktorý tento klient nikdy nečíta.

Upravte telefónny zoznam, ktorý pripojenie vlastní

Pred otvorením editora nájdite telefónny zoznam, ktorý pripojenie vlastní. Pripojenie vytvorené používateľom žije v ceste k roamingovým dátam aplikácií, a pripojenie vytvorené pre všetkých používateľov v adresári dát programov; tieto dva súbory sú nezávislé. Úprava nesprávneho nič nezmení, a zlyhanie potom vyzerá rovnako.

Vypíšte obe umiestnenia a potvrďte úplnú cestu súboru, ktorý chcete upraviť. Súbor pod nesprávnym profilom bude ignorovaný aj po správnej zmene, a druhé zlyhanie vyzerá presne ako prvé.

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

V sekcii s presným názvom pripojenia je prepínač jeden riadok. Zmeňte len tú hodnotu a každú ďalšiu sekciu nechajte tak, ako bola.

UseRasCredentials=1   becomes   UseRasCredentials=0

Náhrada v celom súbore pre každé pripojenie v telefónnom zozname nie je zmena jedného profilu a vynorí sa o týždne neskôr, keď niekto ladí nesúvisiaci tunel. Zálohu držte vedľa súboru, kým zmena nie je overená. Ak je zariadenie spravované, nastavenie sa má zmeniť v príslušnom nasadení, nie v súbore pod profilom používateľa. Podporované verzie Windows ponúkajú ekvivalent pre profil cez poskytovateľa konfiguračnej služby VPNv2 a jeho požiadavky na verziu treba overiť oddelene od požiadaviek poskytovateľa ako celku.

Overte novým pokusom

Odpojte sa, zatvorte reláciu, ktorá bola otvorená, a skúste znova. Existujúca namapovaná jednotka alebo otvorený popisovač súboru môže ďalej používať identitu, s ktorou sa už overil, takže čokoľvek, čo funguje cez starú reláciu, o zmene nič nedokazuje. Najprv potvrďte upravenú hodnotu, s dostatkom kontextu na to, aby bolo vidno, do ktorej sekcie patrí.

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

Potom potvrďte, akú identitu zdroj skutočne dostal. Zdieľanie, ktoré aj so správnym účtom odmieta prístup, je problém autorizácie, a odpoveď žije vo vlastnom logu súborového servera. dokumentovaný opis tohto nastavenia pokrýva nasadenie, v ktorom sa identita VPN líši od identity adresára, a oplatí sa ho prečítať, skôr než budete predpokladať, že pole sa vzťahuje na vášho klienta. Zapíšte zmenu, cestu k telefónnemu zoznamu a účet, ktorý zdroj teraz vidí, pretože ďalší človek, ktorý na to natrafí, začína od rovnakého zmätku.