Windows VPN-fout 691: watter kontrole het werklik misluk?

Windows verwerp 'n wagwoord wat 'n minuut vroeër elders aanvaar is, so die rekening lyk stukkend terwyl die poging nooit geëvalueer is nie. Fout 691 beteken die verbinding is tydens verifikasie geweier, en die kliënt druk dieselfde teks of die geheim verkeerd was, of die rekeningnaam na 'n onverwagte identiteit opgelos het, of 'n bedienerkant-beleid die verbinding afgekeur het. Drie verskillende herstellings deel een boodskap, daarom help 'n herstel soms en verander soms heeltemal niks. Begin met die deel wat jy alleen kan inspekteer: die presiese string wat die kliënt ingedien het en die geloofsbriefstoor waaruit dit gekom het. Vra dan die bediener watter besluit dit aangeteken het, want die dialoog is 'n weiering en nie 'n diagnose nie.

Drie maniere om geweier te word, een dialoog

'n Verkeerde geheim is net die eerste manier om hierdie dialoog te bereik. Die rekeningnaam kan na 'n identiteit opgelos word wat jy nie bedoel het nie, die rekening het miskien geen intoets-toestemming nie, of 'n bedienerkondisie kan die verbinding afkeur nadat die wagwoord aanvaar is. Elkeen van daardie gevalle lewer dieselfde kliëntteks, en elkeen het sy eie herstelling.

Dit is waarom 'n herstel op Maandag te werk lyk en op Dinsdag niks doen. Lees die dialoog as 'n weiering eerder as 'n diagnose, en noteer die profielnaam en die plaaslike tyd van die fout voordat jy die rekening aanraak.

Die drie kategorieë misluk ook op verskillende vlakke. 'n Verkeerde geheim misluk die identiteitsbewys, 'n verkeerde rekeningvorm misluk die opsoek, en 'n beleidskondisie misluk die magtiging nadat die identiteit bewys is. Net die eerste word deur 'n wagwoordverandering herstel. Die ander twee benodig iemand met toegang tot die bediener se besluitrekord, daarom is die volgende stap 'n versoek om inligting eerder as nog 'n herstel.

Wat die kliënt werklik gestuur het

Bevestig die aanvaarde rekeningformaat by wie die poort bestuur, want 'n kaal gebruikersnaam, 'n domeingekwalifiseerde naam en 'n gebruiker-hoofnaam kan na verskillende rekeningkontekste opgelos word. Net een van hulle is dalk die identiteit wat die toestemming hou. Vra watter vorm die poort verwag voor die eerste poging eerder as ná die vyfde, en kontroleer of die kliënt 'n gestoorde geloofsbrief hergebruik in plaas van die een wat jy getik het.

Twee lees-alleen-navrae op die Windows-masjien wys die profiel en enige gekasde geloofsbrief wat die dialoog kan wen. Nie een skakel die bediener nie:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Hanteer die wagwoord as data eerder as as teks wat uit 'n dokument gekopieer is. 'n Waarde wat deur 'n skrip geloop het, kan ontsnappingstekens dra wat nooit deel van die geheim was nie, en 'n konfigurasie-uitvoer het dit dalk aangehaal. Om elke spesiale karakter te verwyder om dit te laat pas, is 'n ander verandering as om die werklike waarde te vind, so stel eers die werklike waarde vas.

Kry die beleidsbesluit, nie 'n herstel nie

Op 'n afstandtoegang-ontplooiing wat 'n netwerkbeleid-bediener gebruik, loop twee besluite in volgorde. Verifikasie stel vas watter rekening vra, en magtiging besluit of daardie rekening hoegenaamd mag koppel. Beleidskondisies en -beperkings word op hul eie voorwaardes geëvalueer, so 'n korrekte geheim beslis net die eerste helfte van die vraag. Die beleidsnaam in die bedienergebeurtenis dui aan watter besluit werklik geloop het.

Stuur die administrateur die profielnaam, die gepoogde rekening en die tydstempel. Vra vir die ooreenstemmende besluitrekord en sy rede eerder as nog 'n wagwoordherstel, en vra vir die beleidsnaam wat die gebeurtenis dra. Microsoft se verwysing vir afstandtoegang-foutkodes lys 691 onder die geloofsbrief- en verifikasiefoute, wat juis is waarom die dialoog nie die drie gevalle kan skei nie.

Om 'n rekening na 'n onvoorwaardelike toelating te omskakel, maak 'n magtigingsbesluit 'n permanente uitsondering. Dit verwyder ook die kondisie wat nuttige werk gedoen het, en die volgende persoon wat die beleid nagaan, sal nie weet waarom dit verander het nie. Laat die eienaar eerder die bedoelde beleid bevestig, sodat aanvaarding doelbewus bly.

Probeer een keer weer, vergelyk dan

Probeer dieselfde profiel weer ná die enkele regstelling wat jy geïdentifiseer het. As toegang aanvaar word en 'n interne hulpbron steeds misluk, het die fout na 'n ander vlak geskuif en sê niks meer oor die wagwoord nie. Om die profiel onveranderd te hou, is wat daardie vergelyking betekenisvol maak.

Weerstaan die drang om 'n adresfamilie te deaktiveer of uitgebreide nasporing te aktiveer voordat die weiering verduidelik is. Nasporing lewer volume eerder as 'n besluit, en die eerste nuttige resultaat bly die komponent wat die poging geweier het en die rede wat dit aangeteken het. Sodra dit bekend is, bevestig die herpoging óf die herstelling óf lewer dit 'n nuwe en smaller simptoom.