Чому Windows пропонує пароль VPN файловому серверу

Windows може підняти тунель і потім запропонувати той самий обліковий запис файловому серверу, який про нього ніколи не чув. Шлюз прийняв вхід; спільна папка ні, і повторне введення пароля нічого не змінює. Вимкнення зберігання облікових даних для всього комп'ютера виглядає рішенням і ним не є. Вбудоване з'єднання RAS несе перемикач на профіль, який виражає саме цей намір.

Визначте, який обліковий запис відхилено

Прочитайте запит, а не закривайте його. Ім'я сервера в діалозі, домен, надрукований поруч з іменем користувача, і те, чи з'явився запит до чи після формування тунелю, вказують кожен на своє. Відмова, що називає спільну папку, не те саме, що відмова, яка називає хост.

Перш ніж сперечатися про ідентичність, переконайтеся, що ресурс узагалі відповідає. Відсутній маршрут, друкарська помилка в імені сервера й обліковий запис без прав на спільну папку дають три різні симптоми, і лише останній стосується ідентичності, яку запропонував Windows. Перевірте, чи відхилений обліковий запис є обліковим записом шлюзу. Якщо вхід VPN — це ідентичність віддаленого доступу, що належить шлюзу, а не обліковий запис каталогу, файловий сервер не має причин його розпізнавати, і повторне введення того самого пароля лише повторює ту саму відмову. Ця різниця вирішує, чи стосується вас наступний розділ узагалі.

Задайте UseRasCredentials для одного профілю

Поле має назву UseRasCredentials, і значення нуль не дає цьому одному з'єднанню пропонувати свої облікові дані RAS мережевим ресурсам. Зміна обмежена профілем, і в цьому вся суть: вона має одне задокументоване значення і не торкається нічого іншого на машині.

Політика безпеки, яка блокує збережені облікові дані для мережевої автентифікації, робить навпаки, бо застосовується до кожного з'єднання на комп'ютері. Її використання тут змінило б поведінку для кожного ресурсу, який користувач відкриє наступного тижня, тому вона залишається поза цим виправленням. UseRasCredentials також є функцією RAS, тому сторонній клієнт із власною обробкою облікових даних проігнорує його. Для таких клієнтів документація постачальника — єдине джерело про те, чи можна змінити поведінку. Перевірте, якому клієнту належить з'єднання, перш ніж редагувати файл, який цей клієнт ніколи не читає.

Відредагуйте телефонну книгу, якій належить з'єднання

Знайдіть телефонну книгу, якій належить з'єднання, перш ніж відкривати редактор. З'єднання, створене користувачем, міститься в шляху даних програм роумінгу, а створене для всіх користувачів — у каталозі даних програм; ці два файли незалежні. Редагування неправильного нічого не змінює, і збій після цього виглядає так само.

Перелічіть обидва розташування й підтвердьте повний шлях файлу, який збираєтеся редагувати. Файл під неправильним профілем буде проігноровано навіть після правильного внесення змін, і другий збій виглядає точно як перший.

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

Усередині розділу з точною назвою з'єднання перемикач — це один рядок. Змініть лише це значення й залиште кожен інший розділ як був.

UseRasCredentials=1   becomes   UseRasCredentials=0

Заміна по всьому файлу для кожного з'єднання в телефонній книзі — це не зміна одного профілю, і вона спливає тижнями пізніше, коли хтось налагоджує не пов'язаний тунель. Тримайте резервну копію поруч із файлом, доки зміну не буде перевірено. Якщо пристрій керується, налаштування слід змінювати в розгортанні, яке ним володіє, а не у файлі під профілем користувача. Підтримувані версії Windows надають еквівалент для профілю через постачальника служби конфігурації VPNv2, і його вимоги до версії треба перевіряти окремо від вимог постачальника загалом.

Перевірте новою спробою

Відключіться, закрийте сеанс, який був відкритий, і спробуйте знову. Наявний підключений диск або відкритий дескриптор файлу може й далі використовувати ідентичність, з якою вже пройшов автентифікацію, тож усе, що працює через старий сеанс, нічого не доводить про зміну. Спершу підтвердьте змінене значення з достатнім контекстом, щоб показати, до якого розділу воно належить.

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

Потім підтвердьте, яку ідентичність ресурс фактично отримав. Спільна папка, яка й далі відмовляє в доступі з правильним обліковим записом, — це проблема авторизації, і відповідь міститься у власному журналі файлового сервера. задокументований опис цього налаштування охоплює розгортання, де ідентичність VPN відрізняється від ідентичності каталогу, і його варто прочитати, перш ніж припускати, що поле стосується вашого клієнта. Запишіть зміну, шлях до телефонної книги й обліковий запис, який ресурс бачить тепер, бо наступна людина, що з цим зіткнеться, починає з тієї самої плутанини.