Усталяванне RRAS не ўдаецца, бо служба RemoteAccess завісае

Усталяванне ролі спыняецца з агульнай памылкай, і журнал падзей не дае амаль нічога для працы. На серверах, дзе гэта адбываецца, бракуе не майстра ўсталявання: служба Remote Access ніколі не пакідае стан Starting. Роля, якая не можа завяршыць уласную ініцыялізацыю, зноў правальваецца пры кожнай спробе, таму служба ідзе першай, а майстар другой. Выпраўленне права ўваходу займае хвіліны, а паўторнае пераўсталяванне ролі — не.

Пачніце са службы, а не з майстра ролі

Адкрыйце cmd з павышанымі правамі і прачытайце канфігурацыю службы, перш чым чапаць ролю. Важныя два значэнні: тып запуску і ўліковы запіс, ад імя якога працуе служба. Прадвызначаная ўсталёўка рэгіструе службу для аўтаматычнага адкладзенага запуску пад Network Service.

Калі стан застаецца Starting, а не Running, служба чакае нешта, чаго не можа атрымаць, і права ўваходу — звычайны кандыдат. Даўжэйшае чаканне не дапамагае, бо запуск ужо праваліўся так, што дыспетчар службаў паведамляе пра гэта як пра чаканне. Прыпыніце службу акуратна і зноў прачытайце яе канфігурацыю. Затым паглядзіце на спробу запуску службы ў журнале падзей: менавіта там побач з памылкай з’яўляецца імя ўліковага запісу.

Майстар ролі паведамляе толькі пра тое, што ініцыялізацыя не ўдалася, і менавіта таму дыягностыка службы павінна ісці першай.

Прачытайце права ўваходу перад пераўсталёўкай

Службе Network Service патрэбна права ўваходу як службы, каб запусціцца. Убудаваныя ўліковыя запісы звычайна атрымліваюць яго праз сяброўства ў групе, а ўзмоцнены базавы профіль або абнаўленне палітыкі можа яго адабраць. Групавая палітыка перамагае пры наступным абнаўленні, таму ручное прадстаўленне можа зноў знікнуць без папярэджання.

Экспартуйце лакальную палітыку бяспекі і прачытайце запіс замест таго, каб давяраць GUI. Гэта пакідае вам файл для параўнання пасля абнаўлення, і толькі так можна даведацца, ці захавалася змена. Калі запіс пусты або не згадвае ўліковы запіс, вы знайшлі няспраўнасць. Запішыце, які аб’ект палітыкі яго задае, бо менавіта гэты аб’ект патрабуе пастаяннага выпраўлення.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

Прадстаўленне, ужытае лакальна і перазапісанае палітыкай пры наступным абнаўленні, выглядае як выпраўленне, якое перастала працаваць, і яно зноў праваліцца так жа.

Кругавы праход уліковага запісу, які перапісвае канфігурацыю

Абыходны шлях выпраўляе канфігурацыю ўваходу службы без ручнога рэдагавання палітыкі: змяніце ўліковы запіс, ужывіце, потым змяніце яго назад, пакінуўшы палі пароляў пустымі.

Кругавы праход перапісвае запіс службы і зноў дае ўліковаму запісу патрэбнае права. Гэта абыход, а не выпраўленне першапрычыны, таму ён належыць у запіс змен з датай побач. Там, дзе серверам кіруе базавы профіль, належнае выпраўленне — дадаць уліковы запіс у прызначэнне ўваходу як службы ў гэтым профілі. Рабіце гэта першым, калі можаце, а кругавы праход выкарыстоўвайце толькі каб вызваліць усталяванне, якое інакш завісла.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Чытайце стан пасля кожнай каманды, бо служба, якая запускаецца пад адным уліковым запісам і не запускаецца пад другім, паказвае, якога права не хапае.

Усталюйце ролю і дакажыце, што яна ўсталяваная

Калі служба працуе, дадайце ролю зноў і ўключыце падфункцыю VPN, якую вы сапраўды збіраецеся выкарыстоўваць. Сама па сабе агульная роля не дае працаздольнай канцавой кропкі VPN.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Пераканайцеся, што падфункцыі паведамляюць Installed, а не Available, затым адкрыйце кансоль і завершыце пачатковую наладку, перш чым хтосьці іншы дакранецца да сервера. Калі кансоль усё яшчэ сцвярджае, што служба не працуе, вярніцеся да праверкі службы замест таго, каб выдаляць ролю.

Запішыце, што вы змянілі

Першыя выбары майстра задаюць правілы брандмаўэра, размеркаванне адрасоў і тое, ці чакае сервер рэтранслятар DHCP. Жменька кліентаў пункт-сайт не патрабуе формы канцавой кропкі сайт-сайт. Вызначце ролю, пул адрасоў, метад аўтэнтыфікацыі і крыніцу сертыфіката, перш чым пстрыкаць далей. Здагадванне тут стварае сервер, які чыста ўсталёўваецца і ніколі не прымае злучэнне.

Трымайце адхіленне ўліковага запісу службы ў той жа нататцы. Праход узмацнення, які вяртае прадвызначаны ўліковы запіс, можа аднавіць няспраўнасць пры наступным перазапуску — праз месяцы пасля таго, як той, хто яе дыягнаставаў, ужо сышоў.