为什么 Windows 会向文件服务器提供 VPN 密码

Windows 可能先建立隧道，随后把同一个账户提供给一个从未听说过它的文件服务器。网关接受了登录，共享却没有接受；重新输入密码不会有任何改变。为整台计算机关闭凭据存储看起来像是解决办法，其实不是。原生 RAS 连接带有一个按配置档生效的开关，恰好表达的正是这个意图。

弄清被拒绝的是哪个账户

不要急着关掉提示，先读懂它。对话框里的服务器名、用户名旁边打印的域，以及提示出现在隧道建立之前还是之后，各自指向不同的地方。点名某个共享的失败，与点名某台主机的失败并不是同一回事。

在争论身份之前，先确认该资源到底有没有响应。路由缺失、服务器名拼写错误，以及没有共享权限的账户，会产生三种不同的症状，只有最后一种才与 Windows 提供的身份有关。检查被拒绝的账户是否为网关账户。如果 VPN 登录是网关自有的远程访问身份，而不是目录账户， 文件服务器就没有理由认得它，重新输入同一个密码只会重复同样的拒绝。这一区分决定了下一节是否适用于你。

在一个配置档上设置 UseRasCredentials

该字段的名称是 UseRasCredentials，值为零时，这一条连接就不会把自己的 RAS 凭据提供给网络资源。改动只限于一个配置档，而这正是关键：它只有一个有文档记录的含义，并且不会碰机器上的任何其他东西。

阻止为网络身份验证存储凭据的安全策略恰恰相反，它作用于计算机上的每一个连接。在这里使用它，会改变用户下周打开的每一个资源的行为，所以它不在本次修复范围内。 UseRasCredentials 同样是 RAS 功能，因此自带凭据处理的第三方客户端会忽略它。对这类客户端来说，厂商文档是判断行为能否更改的唯一依据。在编辑该客户端永远不会读取的文件之前，先确认连接属于哪个客户端。

编辑拥有该连接的电话簿

打开编辑器之前，先找到拥有该连接的电话簿。用户创建的连接位于漫游应用程序数据路径下，为所有用户创建的连接位于程序数据目录下；这两个文件彼此独立。改错文件不会有任何效果，失败的表现事后也一模一样。

列出两个位置，并确认你要编辑的文件的完整路径。位于错误配置档下的文件，即使改对了也会被忽略，第二次失败看起来与第一次完全相同。

Get-ChildItem "$env:APPDATA\Microsoft\Network\Connections\Pbk"
Get-ChildItem "$env:PROGRAMDATA\Microsoft\Network\Connections\Pbk"
Copy-Item "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk.bak"
Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials"

在带有确切连接名称的区段内，开关只有一行。只改这一个值，其余每一段都保持原样。

UseRasCredentials=1   becomes   UseRasCredentials=0

对整个文件里每一条连接做批量替换并不是单配置档改动，而且往往要过几周才会在别人排查一条无关隧道时暴露出来。在改动通过验证之前，把备份留在文件旁边。如果设备由组织管理，设置应当在其所属的部署中修改，而不是改用户配置档下的文件。受支持的 Windows 版本通过 VPNv2 配置服务提供程序提供按配置档的等效设置，其版本要求需要与提供程序整体的要求分开核对。

用一次全新的尝试来验证

断开连接，关闭之前打开的会话，然后重试。已映射的驱动器或打开的文件句柄可能会继续使用它已经通过身份验证的身份，所以任何经由旧会话成功的结果都不能说明改动有效。先确认改过的值，并给出足够上下文以显示它属于哪一段。

Select-String -Path "$env:APPDATA\Microsoft\Network\Connections\Pbk\rasphone.pbk" -Pattern "UseRasCredentials=0" -Context 4,0

然后再确认资源实际收到的是哪个身份。用正确账户仍然被拒绝访问的共享属于授权问题，答案就在文件服务器自己的日志里。 这一设置的文档说明 涵盖了 VPN 身份与目录身份不一致的部署情形，在假定该字段适用于你的客户端之前值得一读。请记录改动、电话簿路径以及资源现在看到的账户，因为下一个遇到此问题的人会从同样的困惑开始。