ทำไม Windows ยังถามรหัสผ่าน VPN ซ้ำแล้วซ้ำอีก

รหัสผ่านของคุณถูกบันทึกไว้ ช่องทำเครื่องหมายถูกเลือก แต่การเชื่อมต่อครั้งถัดไปก็ยังขอข้อมูลรับรองอยู่ดี วงจรนี้มีสาเหตุที่เป็นไปได้สามอย่างใน Windows: นโยบายทั้งเครื่องที่ห้ามการบันทึก, โปรไฟล์ที่อยู่ในที่เก็บอื่นซึ่งต่างจากบัญชีที่ใช้งานมัน หรือวิธีการตรวจสอบสิทธิ์ที่ตัวช่วยสร้างโปรไฟล์ไม่เคยเขียนไว้ แต่ละอย่างแก้ไขคนละที่ และการแก้ไขสิ่งที่ผิดก็ให้ความรู้สึกสบายใจว่าก้าวหน้าในขณะที่ช่องยังว่างอยู่ การระบุสาเหตุก่อนคือสิ่งที่เปลี่ยนวงจรให้เป็นการตรวจสองนาที

นโยบายของเครื่องอาจห้ามการบันทึก

ค่าเดียวในการกำหนดค่าบริการเข้าถึงระยะไกลสามารถปิดการบันทึกข้อมูลรับรองสำหรับคอมพิวเตอร์ทั้งเครื่องได้ ตราบใดที่ยังทำงานอยู่ การเลือกช่องจะไม่เปลี่ยนอะไร เพราะไคลเอนต์ไม่มีที่ให้เก็บความลับ ดังนั้นความพยายามครั้งถัดไปจึงเริ่มด้วยช่องว่าง และไม่มีการตั้งค่าระดับโปรไฟล์ใดที่ข้ามมันได้ นี่คือสิ่งแรกที่ควรอ่าน เพราะเป็นหนึ่งในสามสาเหตุเดียวที่กระทบบัญชีทั้งหมดพร้อมกัน

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

อ่านค่าก่อนสร้างการเชื่อมต่อใหม่ และถือว่าเครื่องที่ตั้งค่าแบบนี้เป็นความตั้งใจไม่ใช่เครื่องเสีย: ศูนย์คือสภาวะปกติ และหนึ่งจะปิดกั้นการบันทึกสำหรับทุกโปรไฟล์บนเครื่อง บนอุปกรณ์ที่ถูกจัดการ ให้ขอให้เจ้าของนโยบายเปลี่ยนแทนการแก้รีจิสทรีภายใต้บัญชีของคุณเอง การรีเฟรชหนึ่งครั้งจะคืนค่าเดิมภายในหนึ่งสัปดาห์ และผู้ใช้จะสรุปว่าวิธีแก้ไม่เคยได้ผล นั่นคือเหตุผลที่การแก้ไขในเครื่องดูเหมือนความล้มเหลวในภายหลัง ถามก่อนว่าข้อจำกัดนั้นเป็นความตั้งใจหรือไม่ก่อนจะต่อสู้กับมัน

โปรไฟล์อาจอยู่ในที่เก็บอีกแห่ง

Windows เก็บสมุดโทรศัพท์หนึ่งเล่มต่อบัญชีและอีกหนึ่งเล่มสำหรับทั้งเครื่อง และการเชื่อมต่อที่สร้างในเล่มแรกจะมองไม่เห็นจากเล่มที่สอง อาการคือการเชื่อมต่อที่หายไปหรือข้อความที่ไม่เคยเสนอข้อมูลรับรองที่บันทึกไว้ การแสดงรายการทั้งสองขอบเขตใช้คำสั่งอย่างละหนึ่งคำสั่งและตัดสินคำถามได้ในไม่กี่วินาที ทำเช่นนั้นก่อนตัดสินว่าข้อมูลรับรองหายไป

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

สร้างโปรไฟล์ด้วยตัวเลือกสำหรับผู้ใช้ทั้งหมดเมื่อทุกบัญชีบนเครื่องต้องใช้งานมัน รายการยังแสดงวิธีการตรวจสอบสิทธิ์ข้างชื่อแต่ละชื่อ ซึ่งจำกัดขอบเขตการสืบสวนทันที ขอบเขตเป็นตัวกำหนดว่าการกำหนดค่าอยู่ที่ไหน มันไม่ได้เปลี่ยนการเชื่อมต่อให้เป็นอุโมงค์ของอุปกรณ์และไม่ได้แบ่งปันข้อมูลรับรองของผู้ใช้คนหนึ่งให้ทุกคน มันยังมีผลต่อการเริ่มระบบ เพราะบัญชีบริการที่หมุนหมายตอนบูตไม่เห็นโปรไฟล์ที่สร้างในที่เก็บของผู้ใช้

ตัวช่วยสร้างอาจไม่เคยเขียนวิธีการไว้

ตัวช่วยสร้าง IKEv2 มีขอบหยาบที่ค้างมานาน การเลือกการตรวจสอบสิทธิ์ด้วยชื่อผู้ใช้และรหัสผ่านไม่เสมอถูกบันทึก และการเปิดตัวช่วยสร้างครั้งถัดไปก็แสดงรายการทั่วไปอีกครั้ง ค่าที่บันทึกไว้คือสิ่งที่ไคลเอนต์ตรวจสอบตอนเชื่อมต่อ วิธีการที่หายไปจึงดูเหมือนรหัสผ่านที่หายไปทุกประการ สิ่งที่เหลือคือโปรไฟล์ที่ไม่มีวิธีการตรวจสอบสิทธิ์ ซึ่งทิ้งความลับที่บันทึกไว้โดยไม่มีอะไรให้ผูก

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

การกำหนดวิธีการอย่างชัดเจนหลีกเลี่ยงกล่องโต้ตอบทั้งหมด และการอ่านค่ากลับมายืนยันว่ามีการเขียนอะไรลงไป ค่าที่กลับมาเองหมายความว่ามีอย่างอื่นกำลังเขียนโปรไฟล์ใหม่

ยืนยันด้วยการออกจากระบบ ไม่ใช่การเชื่อมต่อใหม่

การเชื่อมต่อใหม่ภายในเซสชันเดียวกันใช้สถานะที่การลงชื่อเข้าใช้จริงสร้างขึ้นใหม่ ดังนั้นมันจึงซ่อนปัญหาของที่เก็บได้ทั้งหมด ออกจากระบบ เข้าสู่ระบบอีกครั้ง และเริ่มการเชื่อมต่อพร้อมสังเกตว่ามีการเสนอหรือขอข้อมูลรับรอง จากนั้นเรียกใช้รายการอีกครั้ง เพราะโปรไฟล์ควรปรากฏในที่เก็บที่คุณคาดหวังและวิธีการควรยังเป็นวิธีที่คุณตั้งไว้ การลองใหม่ในเซสชันเดียวกันพิสูจน์เพียงว่าข้อมูลรับรองที่แคชไว้ยังอยู่ในหน่วยความจำ

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

ถ้าข้อความยังกลับมาอยู่ดี ผู้สมัครที่เหลือคือวิธีการเอง หรือการรีเฟรชนโยบายได้คืนข้อจำกัดเดิมอย่างเงียบ ๆ ตรวจสอบสองอย่างนั้นก่อนติดตั้งไคลเอนต์ใหม่ที่ไม่เคยเกี่ยวข้อง ทั้งสองทิ้งร่องรอยของตัวเองไว้ในผลลัพธ์ของรายการ

บันทึกสาเหตุที่คุณเปลี่ยนและหลักฐานที่ยืนยันมัน การรีเฟรชโปรไฟล์อาจทำให้ช่องว่างกลับมา และบันทึกนั่นแหละที่ทำให้การทำซ้ำมีต้นทุนต่ำ