Varför Windows erbjuder VPN-lösenordet till en filserver

Windows kan sätta upp en tunnel och sedan erbjuda samma konto till en filserver som aldrig har hört talas om det. Gatewayen godtog inloggningen; delningen gjorde det inte, och att skriva lösenordet igen ändrar ingenting. Att stänga av lagringen av autentiseringsuppgifter för hela datorn ser ut som lösningen och är det inte. En inbyggd RAS-anslutning har en växel per profil som uttrycker just denna avsikt.

Ta reda på vilket konto som avvisades

Läs uppmaningen i stället för att avvisa den. Servernamnet i dialogen, domänen som skrivs ut bredvid användarnamnet och om uppmaningen kom före eller efter att tunneln bildades pekar var och en på olika saker. Ett fel som namnger en delning är inte samma fel som ett som namnger en värd.

Bekräfta att resursen alls svarar innan du diskuterar identitet. En saknad rutt, ett stavfel i servernamnet och ett konto utan delningsbehörigheter ger tre olika symtom, och bara det sista gäller identiteten som Windows erbjöd. Kontrollera om det avvisade kontot är gateway-kontot. Om VPN-inloggningen är en fjärråtkomstidentitet som ägs av gatewayen och inte ett katalogkonto, har filservern ingen anledning att känna igen den, och att skriva samma lösenord igen upprepar bara samma avvisande. Den skillnaden avgör om nästa avsnitt gäller dig alls.

Ställ in UseRasCredentials på en profil

Fältet är UseRasCredentials, och värdet noll hindrar den anslutningen från att erbjuda sina RAS-uppgifter till nätverksresurser. Ändringen är begränsad till en profil, och det är just poängen: det har en dokumenterad betydelse och rör ingenting annat på datorn.

Säkerhetsprincipen som blockerar sparade autentiseringsuppgifter för nätverksautentisering gör det motsatta, eftersom den gäller för varje anslutning på datorn. Att använda den här skulle ändra beteendet för varje resurs användaren öppnar nästa vecka, därför hör den utanför den här reparationen. UseRasCredentials är också en RAS-funktion, så en tredjepartsklient med egen hantering av autentiseringsuppgifter kommer att ignorera den. För sådana klienter är leverantörens dokumentation den enda auktoriteten för om beteendet kan ändras. Kontrollera vilken klient som äger anslutningen innan du redigerar en fil som den klienten aldrig läser.

Redigera telefonboken som äger anslutningen

Hitta telefonboken som äger anslutningen innan du öppnar en redigerare. En anslutning som användaren skapar ligger i sökvägen för roaming-programdata, och en som skapas för alla användare ligger under programdatakatalogen; de två filerna är oberoende. Att redigera fel ändrar ingenting, och felet ser identiskt ut efteråt.

Lista båda platserna och bekräfta den fullständiga sökvägen till filen du tänker redigera. En fil under fel profil ignoreras även efter att du ändrat den korrekt, och det andra felet ser exakt ut som det första.

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

Inuti avsnittet med det exakta anslutningsnamnet är växeln en rad. Ändra bara det värdet och lämna varje annat avsnitt som det var.

UseRasCredentials=1   becomes   UseRasCredentials=0

En filomfattande ersättning för varje anslutning i telefonboken är inte en ändring av en enda profil, och den dyker upp veckor senare när någon felsöker en orelaterad tunnel. Behåll säkerhetskopian bredvid filen tills ändringen är verifierad. Om enheten hanteras är det i den ägande distributionen inställningen ska ändras, inte i en fil under användarprofilen. Windows-versioner som stöds exponerar en motsvarighet per profil via konfigurationstjänstleverantören VPNv2, och dess versionskrav måste kontrolleras separat från leverantörens krav som helhet.

Verifiera med ett nytt försök

Koppla från, stäng sessionen som var öppen och försök igen. En befintlig mappad enhet eller ett öppet filhandtag kan fortsätta använda identiteten det redan autentiserats med, så ingenting som fungerar via en gammal session bevisar något om ändringen. Bekräfta först det redigerade värdet, med tillräckligt sammanhang för att visa vilket avsnitt det hör till.

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

Bekräfta sedan vilken identitet resursen faktiskt fick. En delning som fortfarande nekar åtkomst med rätt konto är ett auktoriseringsproblem, och filserverns egen logg är där det svaret finns. Den dokumenterade beskrivningen av den här inställningen täcker distributionen där VPN-identiteten skiljer sig från katalogidentiteten, och den är värd att läsa innan du antar att fältet gäller din klient. Anteckna ändringen, telefonbokens sökväg och kontot som resursen nu ser, eftersom nästa person som stöter på detta börjar från samma förvirring.