Чому Windows знову і знову питає пароль VPN

Пароль збережено, прапорець установлено, а наступне підключення все одно запитує облікові дані. Цей цикл має в Windows три можливі причини: політика для всієї машини, що забороняє збереження, профіль, який живе в іншому сховищі, ніж обліковий запис, що його використовує, або спосіб автентифікації, який майстер профілів так і не записав. Кожна виправляється в іншому місці, і зміна не тієї створює заспокійливе враження поступу, поки поле залишається порожнім. Саме називання причини першою перетворює цикл на перевірку за дві хвилини.

Політика машини може заборонити збереження

Одне єдине значення в конфігурації служби віддаленого доступу може вимкнути збереження облікових даних для всього комп'ютера. Поки воно активне, установка прапорця нічого не змінює, бо клієнтові ніде зберігати секрет. Тому наступна спроба починається з порожнього поля, і жодне налаштування рівня профілю не може це обійти. Це перше, що варто прочитати, бо це єдина з трьох причин, яка зачіпає всі облікові записи одночасно.

reg query "HKLM\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" /v DisableSavePassword
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\RasMan\Parameters" | Select-Object DisableSavePassword

Прочитайте значення, перш ніж перебудовувати підключення, і вважайте так налаштовану машину навмисною, а не зламаною: нуль — це нормальний стан, а одиниця блокує збереження для кожного профілю на машині. На керованому пристрої попросіть власника політики змінити її, замість того щоб редагувати реєстр під власним обліковим записом. Одне оновлення поверне старе значення протягом тижня, і користувач дійде висновку, що виправлення ніколи не працювало. Саме тому локальна правка згодом виглядає як провал. Запитайте, чи обмеження навмисне, перш ніж боротися з ним.

Профіль може лежати в іншому сховищі

Windows тримає одну телефонну книгу на обліковий запис і одну на всю машину, і підключення, створене в першій, невидиме для другої. Симптом — відсутнє підключення або запит, який ніколи не пропонує збережені облікові дані. Перелік обох областей потребує по одній команді й вирішує питання за секунди. Зробіть це, перш ніж вирішити, що облікові дані втрачено.

Get-VpnConnection | Format-List Name,AuthenticationMethod,ServerAddress
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod,ServerAddress

Створіть профіль з параметром для всіх користувачів, коли його має використовувати кожен обліковий запис на машині. Список також показує спосіб автентифікації поруч із кожним ім'ям, що одразу звужує розслідування. Область вирішує, де живе конфігурація; вона не перетворює підключення на тунель пристрою й не ділить облікові дані одного користувача з усіма. Вона також впливає на запуск, бо службовий обліковий запис, що дзвонить під час завантаження, не бачить профілю, створеного в користувацькому сховищі.

Майстер міг так і не записати спосіб

Майстер IKEv2 має давню шорстку грань. Вибір автентифікації за іменем користувача й паролем зберігається не завжди, і наступний захід до майстра знову показує загальний запис. Збережене значення — це те, до чого клієнт звертається під час підключення, тому відсутній спосіб виглядає точно як відсутній пароль. Залишається профіль без способу автентифікації, і це залишає збережений секрет без чогось, до чого його можна прив'язати.

Set-VpnConnection -Name "Corp" -AuthenticationMethod EAP -AllUserConnection
Get-VpnConnection -Name "Corp" -AllUserConnection | Select-Object AuthenticationMethod
rasphone -l

Явне встановлення способу повністю обходить діалог, а читання значення назад доводить, що було записано. Значення, яке саме повертається, означає, що профіль переписує щось інше.

Підтвердьте виходом із системи, а не повторним підключенням

Повторне підключення в межах одного сеансу використовує стан, який справжній вхід будує заново, тож воно може повністю приховати проблему сховища. Вийдіть із системи, увійдіть знову й запустіть підключення, спостерігаючи, чи облікові дані пропонуються, чи запитуються. Потім знову запустіть списки, бо профіль має з'явитися в очікуваному сховищі, а спосіб має залишитися тим, який ви задали. Повторна спроба в тому самому сеансі доводить лише те, що кешовані облікові дані ще були в пам'яті.

whoami
Get-VpnConnection -AllUserConnection | Format-List Name,AuthenticationMethod
Get-VpnConnection | Format-List Name,AuthenticationMethod
rasdial "Corp"

Якщо запит усе одно повертається, залишковий кандидат — сам спосіб, або оновлення політики тихо повернуло початкове обмеження. Перевірте ці дві речі, перш ніж перевстановлювати клієнт, який ніколи не був задіяний. Обидві залишають свій слід у виводі списку.

Запишіть причину, яку ви змінили, і доказ, що її підтвердив. Оновлення профілю може повернути порожнє поле, і саме нотатка робить повторення дешевим.