Android 设置 VPN 后反复要求输入密码

重设 VPN 账号密码并不会解除 Android 的锁屏，正是这种错配造成了大多数此类死局。锁屏、工作资料策略和 VPN 凭据是三份彼此独立的机密，由三个不同的主体保管。在重置任何东西之前，先弄清提示要的是哪一份。三个信号可以定案：你还能不能用这台手机、提示出现在什么时机，以及设备是不是由别人注册的。

三个信号，判断提示属于哪一层

可访问性是第一个信号。如果手机开机后停在无法通过的锁屏上，Android 内部的一切都够不着，任何账号控制台都改变不了这一点。

时机是第二个。手机还在启动、任何应用都尚未绘制时就出现的提示，属于设备本身，或属于在启动阶段运行的存储策略。只有在你点按 VPN 配置文件之后才出现的提示，属于该配置文件的身份验证。带有键盘、指纹图标和紧急呼叫按钮的界面就是系统锁屏，无论它上方写着什么文字。

注册是第三个。打开“设置”，再进“安全”，然后看“设备管理应用”；被管理的手机通常会列出一个你不认识的名字，那个名字就是该找的人。

把措辞对应到掌管它的存储

各家客户端在措辞上并不一致，所以要读那句正在提问的句子，而不是它上方的标题。下表列出最常见的几类提示。

最容易造成困惑的是中间两行。出现“证书”或“凭据”字样，意味着 Android 自己的凭据存储想要那道保护私钥材料的锁屏，这就是为什么一个 VPN 配置流程会向你索要手机本身的密码。那个对话框里没有任何内容是在向 VPN 服务器索取东西。

当提示要的是 VPN 凭据

如果手机可以正常使用，只有隧道拒绝了你，就留在 VPN 这一层里处理。在服务商一侧重置密码是正确的第一步，对于用用户名和密码认证的配置文件来说，这已经足够。删掉已保存的配置文件，再从全新的配置文件或二维码重新添加，因为已保存的配置文件会不断重放旧凭据，让这次重置看起来毫无用处。

有一个测试能迅速区分这两层。用同一账号从笔记本电脑上试。如果笔记本能连上，账号没问题，是手机里存着过期材料。如果笔记本以同样方式失败，说明重置从未生效，手机从来就不是问题所在。

基于证书的配置文件失败方式不同。PKCS#12 捆绑包或按设备签发的证书，都与手机密钥库中的一把私钥绑定，而修改账号密码不会重新生成那把密钥。所以当客户端要你选择证书、而列表是空的，说明这台设备从未导入过密钥，重新注册是唯一的修复方式。

当你丢的是锁屏

早年的教程承诺能用一条远程命令替换手机上现有的密码。这条命令已经不存在了，人们记得的 Android 4.4 时代设备上的“忘记图案”按钮也随之消失。Google 现行的设备锁定指引说得直白：锁屏无法恢复时，受支持的途径是抹除手机并重新设置。

抹除有前提条件，动手之前值得先核对。手机需要联网，登录的账号必须与先前添加的那个一致，而且远程抹除必须事先在这台手机上启用过。厂商的按键组合是另一条有文档记载的途径，代价相同。

除非你能说出一份具体的备份以及它上次运行的时间，否则就按数据丢失来打算。重置后的保护可能要求提供先前那台手机上所用账号的凭据，而云备份并不能可靠地恢复与应用绑定的密钥或受管理资料的身份。

在抹掉一台还能用的手机之前，先算清下游代价：工作资料身份必须由管理员重新签发，银行和身份验证器应用需要重新注册，与设备绑定的 VPN 证书需要重新注册。

按这个顺序处理

从上往下走，在第一个改变了现象的步骤处停下。先读提示实际写了什么，再确认设备是否由管理员注册，然后测试一个刚导入的配置文件，最后才把锁屏当作已丢失。在联系支持之前把措辞记下来能省一个来回，因为“它要我的密码”这句话对应着四种不同的修复。

如果你走到抹除这一步，先确认账号凭据和备份情况，之后重新注册 VPN，而不是从一份早于这次重置的备份里恢复配置文件。