Varför Windows fortsätter att fråga efter ditt VPN-lösenord

Lösenordet är sparat, rutan är ikryssad, och nästa anslutning frågar ändå efter inloggningsuppgifterna. Den här slingan har tre möjliga orsaker i Windows: en policy för hela maskinen som förbjuder sparande, en profil som ligger i ett annat förråd än kontot som använder den, eller en autentiseringsmetod som profilguiden aldrig skrev ner. Var och en åtgärdas någon annanstans, och att ändra den felaktiga ger ett lugnande intryck av framsteg medan rutan förblir tom. Att namnge orsaken först är det som gör slingan till en kontroll på två minuter.

En maskinpolicy kan förbjuda sparande

Ett enda värde i konfigurationen för tjänsten för fjärråtkomst kan stänga av sparandet av inloggningsuppgifter för hela datorn. Så länge det är aktivt ändrar ikryssningen ingenting, eftersom klienten inte har någonstans att lägga hemligheten. Nästa försök börjar därför med ett tomt fält, och ingen inställning på profilnivå kan åsidosätta det. Det här är det första att läsa, eftersom det är den enda av de tre orsakerna som drabbar alla konton samtidigt.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Läs värdet innan du bygger upp anslutningen igen, och behandla en maskin som är inställd så här som avsiktlig och inte trasig: noll är normaltillståndet och ett blockerar sparande för varje profil på maskinen. På en hanterad enhet ber du ägaren av policyn att ändra den i stället för att redigera registret under ditt eget konto. En uppdatering återställer det gamla värdet inom en vecka, och användaren drar slutsatsen att åtgärden aldrig fungerade. Det är därför en lokal ändring senare ser ut som ett misslyckande. Fråga om begränsningen är avsiktlig innan du kämpar mot den.

Profilen kan ligga i det andra förrådet

Windows håller en telefonbok per konto och en för hela maskinen, och en anslutning som skapats i den första är osynlig för den andra. Symtomet är en saknad anslutning eller en fråga som aldrig erbjuder de sparade inloggningsuppgifterna. Att lista båda omfången tar ett kommando vardera och avgör frågan på sekunder. Gör det innan du bestämmer att uppgifterna är förlorade.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Skapa profilen med alternativet för alla användare när varje konto på maskinen måste använda den. Listan visar också autentiseringsmetoden bredvid varje namn, vilket snabbt snävar in undersökningen. Omfånget avgör var konfigurationen bor; det gör inte anslutningen till en enhetstunnel eller delar en användares inloggningsuppgifter med alla. Det spelar också in vid start, eftersom ett tjänstekonto som ringer upp vid boot inte ser en profil som skapats i ett användarförråd.

Guiden kanske aldrig skrev ner metoden

IKEv2-guiden har en gammal grov kant. Valet av autentisering med användarnamn och lösenord sparas inte alltid, och nästa besök i guiden visar återigen den generiska posten. Det sparade värdet är vad klienten läser vid anslutning, så en saknad metod ser exakt ut som ett saknat lösenord. Det som återstår är en profil utan autentiseringsmetod, vilket lämnar en sparad hemlighet utan något att binda den till.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

Att ange metoden uttryckligen undviker dialogen helt, och att läsa tillbaka värdet bevisar vad som skrevs. Ett värde som faller tillbaka av sig självt betyder att något annat skriver om profilen.

Bekräfta med en utloggning, inte med en ny anslutning

Att återansluta inom samma session återanvänder tillstånd som en riktig inloggning bygger upp igen, så det kan dölja ett förrådsproblem helt. Logga ut, logga in igen och starta anslutningen medan du ser om inloggningsuppgifter erbjuds eller efterfrågas. Kör sedan listorna igen, eftersom profilen bör dyka upp i det förråd du förväntar dig och metoden bör vara den du angav. Ett nytt försök i samma session bevisar bara att de cachade uppgifterna fortfarande fanns i minnet.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Om frågan ändå kommer tillbaka är den återstående kandidaten metoden själv, eller så har en policyuppdatering tyst återställt den ursprungliga begränsningen. Kontrollera de två innan du installerar om en klient som aldrig var inblandad. Båda lämnar sina egna spår i listans utdata.

Anteckna orsaken du ändrade och beviset som bekräftade den. En profiluppdatering kan ta tillbaka den tomma rutan, och anteckningen är det som gör upprepningen billig.