ทำไม Windows จึงเสนอรหัสผ่าน VPN ให้เซิร์ฟเวอร์ไฟล์

Windows สามารถเปิดอุโมงค์แล้วเสนอบัญชีเดียวกันให้เซิร์ฟเวอร์ไฟล์ที่ไม่เคยได้ยินชื่อเลย เกตเวย์ยอมรับการเข้าสู่ระบบ แต่แชร์ไม่ยอม และการพิมพ์รหัสผ่านซ้ำไม่เปลี่ยนอะไร การปิดการเก็บข้อมูลรับรองสำหรับคอมพิวเตอร์ทั้งเครื่องดูเหมือนทางแก้และไม่ใช่ การเชื่อมต่อ RAS แบบเนทีฟมีสวิตช์ต่อโปรไฟล์ที่แสดงเจตนานี้อย่างตรงไปตรงมา

ระบุว่าบัญชีใดถูกปฏิเสธ

อ่านข้อความแจ้งแทนที่จะปิดทิ้ง ชื่อเซิร์ฟเวอร์ในกล่องโต้ตอบ โดเมนที่พิมพ์ข้างชื่อผู้ใช้ และข้อความแจ้งมาถึงก่อนหรือหลังการสร้างอุโมงค์ แต่ละอย่างชี้ไปยังจุดที่ต่างกัน ความล้มเหลวที่ระบุชื่อแชร์ไม่เหมือนกับความล้มเหลวที่ระบุชื่อโฮสต์

ยืนยันว่าแหล่งข้อมูลตอบสนองจริงก่อนจะโต้เถียงเรื่องตัวตน เส้นทางที่หายไป การพิมพ์ชื่อเซิร์ฟเวอร์ผิด และบัญชีที่ไม่มีสิทธิ์แชร์ทำให้เกิดอาการสามแบบที่ต่างกัน และมีเพียงแบบสุดท้ายที่เกี่ยวกับตัวตนที่ Windows เสนอ ตรวจสอบว่าบัญชีที่ถูกปฏิเสธเป็นบัญชีเกตเวย์หรือไม่ หากการเข้าสู่ระบบ VPN เป็นตัวตนการเข้าถึงระยะไกลที่เกตเวย์เป็นเจ้าของ ไม่ใช่บัญชีไดเรกทอรี เซิร์ฟเวอร์ไฟล์ไม่มีเหตุผลที่จะรู้จักตัวตนนั้นและการพิมพ์รหัสผ่านเดิมซ้ำก็เพียงทำซ้ำการปฏิเสธเดิม ความแตกต่างนี้ตัดสินว่าส่วนถัดไปเกี่ยวกับคุณหรือไม่

ตั้งค่า UseRasCredentials บนโปรไฟล์เดียว

ฟิลด์นี้คือ UseRasCredentialsและค่าศูนย์ทำให้การเชื่อมต่อนั้นไม่เสนอข้อมูลรับรอง RAS ของตนให้แหล่งข้อมูลเครือข่าย การเปลี่ยนแปลงจำกัดอยู่ที่โปรไฟล์เดียว และนั่นคือประเด็นทั้งหมด: มันมีความหมายเดียวที่บันทึกไว้และไม่แตะต้องสิ่งอื่นใดในเครื่อง

นโยบายความปลอดภัยที่บล็อกข้อมูลรับรองที่จัดเก็บไว้สำหรับการพิสูจน์ตัวตนบนเครือข่ายทำตรงกันข้าม เพราะใช้กับการเชื่อมต่อทุกอย่างบนคอมพิวเตอร์ การใช้ที่นี่จะเปลี่ยนพฤติกรรมของทุกแหล่งข้อมูลที่ผู้ใช้จะเปิดในสัปดาห์หน้า จึงอยู่นอกการซ่อมนี้ UseRasCredentials เป็นคุณสมบัติของ RAS เช่นกัน ไคลเอนต์ของบุคคลที่สามที่มีการจัดการข้อมูลรับรองของตัวเองจะไม่สนใจคุณสมบัตินี้ สำหรับไคลเอนต์เหล่านั้น เอกสารของผู้จำหน่ายเป็นเพียงแหล่งอ้างอิงเดียวว่าพฤติกรรมเปลี่ยนได้หรือไม่ ตรวจสอบว่าไคลเอนต์ใดเป็นเจ้าของการเชื่อมต่อก่อนแก้ไขไฟล์ที่ไคลเอนต์นั้นไม่เคยอ่าน

แก้ไขสมุดโทรศัพท์ที่เป็นเจ้าของการเชื่อมต่อ

ค้นหาสมุดโทรศัพท์ที่เป็นเจ้าของการเชื่อมต่อก่อนเปิดโปรแกรมแก้ไข การเชื่อมต่อที่ผู้ใช้สร้างอยู่ในพาธข้อมูลแอปพลิเคชันแบบโรว์มิ่ง และการเชื่อมต่อที่สร้างสำหรับผู้ใช้ทุกคนอยู่ในไดเรกทอรีข้อมูลโปรแกรม ทั้งสองไฟล์แยกจากกัน การแก้ไขผิดไฟล์ไม่เปลี่ยนอะไร และความล้มเหลวดูเหมือนเดิมหลังจากนั้น

แสดงทั้งสองตำแหน่งและยืนยันพาธเต็มของไฟล์ที่คุณตั้งใจจะแก้ไข ไฟล์ภายใต้โปรไฟล์ผิดจะถูกเพิกเฉยแม้คุณจะแก้ไขอย่างถูกต้อง และความล้มเหลวครั้งที่สองดูเหมือนครั้งแรกทุกประการ

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

ภายในส่วนที่มีชื่อการเชื่อมต่อที่แน่นอน สวิตช์คือหนึ่งบรรทัด เปลี่ยนเฉพาะค่านั้น และปล่อยส่วนอื่นทั้งหมดไว้เหมือนเดิม

UseRasCredentials=1   becomes   UseRasCredentials=0

การแทนที่ทั่วทั้งไฟล์สำหรับทุกการเชื่อมต่อในสมุดโทรศัพท์ไม่ใช่การเปลี่ยนแปลงโปรไฟล์เดียว และจะปรากฏขึ้นในอีกหลายสัปดาห์เมื่อมีคนแก้ไขข้อบกพร่องของอุโมงค์ที่ไม่เกี่ยวข้อง เก็บสำรองไว้ข้างไฟล์จนกว่าการเปลี่ยนแปลงจะได้รับการตรวจสอบ หากอุปกรณ์ถูกจัดการ การตั้งค่าควรเปลี่ยนในการปรับใช้ที่เป็นเจ้าของ ไม่ใช่ไฟล์ภายใต้โปรไฟล์ผู้ใช้ เวอร์ชัน Windows ที่รองรับมีสิ่งที่เทียบเท่าต่อโปรไฟล์ผ่านผู้ให้บริการการกำหนดค่า VPNv2 และข้อกำหนดเวอร์ชันของมันต้องตรวจสอบแยกจากข้อกำหนดของผู้ให้บริการโดยรวม

ตรวจสอบด้วยการลองใหม่

ยกเลิกการเชื่อมต่อ ปิดเซสชันที่เปิดอยู่ แล้วลองอีกครั้ง ไดรฟ์ที่แมปไว้หรือแฮนเดิลไฟล์ที่เปิดอยู่อาจใช้ตัวตนที่พิสูจน์ตัวตนแล้วต่อไปได้ ดังนั้นสิ่งที่ทำงานผ่านเซสชันเก่าไม่ได้พิสูจน์อะไรเกี่ยวกับการเปลี่ยนแปลง ยืนยันค่าที่แก้ไขก่อน ด้วยบริบทเพียงพอที่จะแสดงว่าค่านั้นอยู่ในส่วนใด

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

จากนั้นยืนยันว่าแหล่งข้อมูลได้รับตัวตนใดจริง ๆ การแชร์ที่ยังปฏิเสธการเข้าถึงแม้ใช้บัญชีที่ถูกต้องเป็นปัญหาเรื่องการอนุญาต และคำตอบอยู่ในบันทึกของเซิร์ฟเวอร์ไฟล์เอง คำอธิบายที่บันทึกไว้ของการตั้งค่านี้ ครอบคลุมการปรับใช้ที่ตัวตน VPN ต่างจากตัวตนไดเรกทอรี และคุ้มค่าที่จะอ่านก่อนถือว่าฟิลด์นี้ใช้กับไคลเอนต์ของคุณ บันทึกการเปลี่ยนแปลง พาธของสมุดโทรศัพท์ และบัญชีที่แหล่งข้อมูลเห็นอยู่ในขณะนี้ เพราะคนถัดไปที่เจอเรื่องนี้จะเริ่มจากความสับสนเดียวกัน