Памылка 691 у VPN на Windows: якая праверка насамрэч не прайшла?

Windows адхіляе пароль, які хвіліну таму прыняў у іншым месцы, таму ўліковы запіс выглядае зламаным, хоць спроба наогул не ацэньвалася. Памылка 691 азначае, што злучэнне было адхілена падчас аўтэнтыфікацыі, і кліент паказвае адзін і той жа тэкст, ці быў сакрэт няправільны, ці імя ўліковага запісу ператварылася ў нечаканую асобу, ці серверная палітыка адхіліла злучэнне. Тры розныя выпраўленні маюць адно паведамленне, таму скід часам дапамагае, а часам не мяняе нічога. Пачніце з таго, што можна агледзець самастойна: дакладны радок, які адправіў кліент, і сховішча ўліковых дадзеных, з якога ён яго ўзяў. Затым спытайце ў сервера, якое рашэнне ён запісаў, бо дыялог — гэта адмова, а не дыягназ.

Тры шляхі атрымаць адмову, адно акно

Няправільны сакрэт — гэта толькі першы шлях да гэтага акна. Імя ўліковага запісу можа ператварыцца ў асобу, якую вы не мелі на ўвазе, уліковы запіс можа не мець дазволу на камутаваны доступ, або ўмова сервера можа адхіліць злучэнне пасля прыняцця пароля. Кожны з гэтых выпадкаў дае адзін і той жа тэкст кліента, і кожны мае сваё выпраўленне.

Менавіта таму скід выглядае працоўным у панядзелак і не робіць нічога ў аўторак. Чытайце дыялог як адмову, а не як дыягназ, і запішыце імя профілю і мясцовы час збою, перш чым кранаць уліковы запіс.

Гэтыя тры катэгорыі таксама адмаўляюць на розных узроўнях. Няправільны сакрэт правальвае доказ асобы, няправільная форма ўліковага запісу правальвае пошук, а ўмова палітыкі правальвае аўтарызацыю пасля таго, як асоба даказана. Толькі першая выпраўляецца зменай пароля. Дзве іншыя патрабуюць чалавека з доступам да запісу рашэнняў сервера, таму наступны крок — запыт інфармацыі, а не чарговы скід.

Што кліент насамрэч адправіў

Узгадніце прыняты фармат уліковага запісу з тым, хто кіруе шлюзам, бо простае імя карыстальніка, імя з даменам і асноўнае імя карыстальніка могуць весці да розных кантэкстаў уліковага запісу. Толькі адно з іх можа быць асобай, якая мае дазвол. Спытайце, якую форму чакае шлюз, да першай спробы, а не пасля пятай, і праверце, ці кліент выкарыстоўвае захаваныя ўліковыя дадзеныя замест тых, што вы ўвялі.

Два запыты толькі для чытання на машыне Windows паказваюць профіль і любыя кэшаваныя ўліковыя дадзеныя, якія могуць перамагчы дыялог. Ні адзін з іх не звязваецца з серверам:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Стаўцеся да пароля як да даных, а не як да тэксту, скапіяванага з дакумента. Значэнне, якое прайшло праз скрыпт, можа несці сімвалы экранавання, якія ніколі не былі часткай сакрэту, а экспарт канфігурацыі мог узяць яго ў лапкі. Выдаленне ўсіх спецыяльных сімвалаў, каб яно падыходзіла, — гэта іншае змяненне, чым пошук сапраўднага значэння, таму спачатку ўсталюйце сапраўднае значэнне.

Атрымайце рашэнне палітыкі, а не скід

У разгортванні аддаленага доступу з серверам сеткавай палітыкі два рашэнні выконваюцца паслядоўна. Аўтэнтыфікацыя ўстанаўлівае, які ўліковы запіс запытвае, а аўтарызацыя вырашае, ці можа гэты ўліковы запіс падключацца ўвогуле. Умовы і абмежаванні палітыкі ацэньваюцца па сваіх правілах, таму правільны сакрэт вырашае толькі першую палову пытання. Назва палітыкі ў падзеі сервера паказвае, якое рашэнне насамрэч выконвалася.

Адпраўце адміністратару імя профілю, спробу ўліковага запісу і адзнаку часу. Папрасіце адпаведны запіс рашэння і яго прычыну замест чарговага скіду пароля, а таксама назву палітыкі, якую нясе падзея. даведнік па кодах памылак аддаленага доступу змяшчае 691 сярод памылак уліковых дадзеных і аўтэнтыфікацыі, і менавіта таму дыялог не можа адрозніць тры выпадкі.

Пераўтварэнне ўліковага запісу ў безумоўны дазвол робіць рашэнне аўтарызацыі пастаянным выключэннем. Яно таксама прыбірае ўмову, якая рабіла карысную працу, і наступны чалавек, які будзе разглядаць палітыку, не даведаецца, чаму яна змянілася. Замест гэтага папрасіце ўладальніка пацвердзіць патрэбную палітыку, каб прыняцце заставалася ўсвядомленым.

Паспрабуйце яшчэ раз, потым параўнайце

Паўтарыце тую ж спробу профілю пасля адзінага выпраўлення, якое вы вызначылі. Калі доступ прыняты, а унутраны рэсурс усё яшчэ недаступны, збой перайшоў на іншы ўзровень і больш нічога не кажа пра пароль. Менавіта нязменнасць профілю робіць гэтае параўнанне значным.

Супраціўляйцеся жаданню адключыць сямейства адрасоў або ўключыць падрабязнае трасаванне, пакуль адмова не патлумачана. Трасаванне дае аб'ём, а не рашэнне, і першым карысным вынікам застаецца кампанент, які адхіліў спробу, і прычына, якую ён запісаў. Калі гэта вядома, паўтор альбо пацвярджае выпраўленне, альбо дае новы і больш вузкі сімптом.