Инсталирането на RRAS се проваля, защото услугата RemoteAccess засича

Инсталирането на ролята спира с обща грешка и журналът на събитията не предлага почти нищо за работа. На сървърите, където това се случва, липсващата част изобщо не е в съветника: услугата Remote Access никога не напуска състоянието Starting. Роля, която не може да завърши собствената си инициализация, се проваля отново при всяко повторение, затова услугата е първа, а съветникът — втори. Поправянето на правото за влизане отнема минути, а повторното инсталиране на ролята — не.

Започнете от услугата, а не от съветника за ролята

Отворете повишен команден ред и прочетете конфигурацията на услугата, преди да пипате ролята. Две стойности имат значение: типът на стартиране и акаунтът, под който работи услугата. Стандартната инсталация регистрира услугата за автоматично, отложено стартиране под Network Service.

Ако състоянието стои на Starting, а не на Running, услугата чака нещо, което не може да получи, и правото за влизане е обичайният заподозрян. По-дългото чакане не помага, защото стартирането вече се е провалило по начин, който Service Control Manager отчита като предстоящо. Спрете услугата чисто и прочетете конфигурацията ѝ отново. После погледнете опита за стартиране на услугата в журнала на събитията — там името на акаунта се появява до грешката.

Съветникът за ролята съобщава само, че инициализацията е неуспешна, и точно затова диагностиката на услугата трябва да е първа.

Прочетете правото за влизане, преди да преинсталирате

Услугата Network Service се нуждае от правото за влизане като услуга, за да стартира. Вградените акаунти обикновено го получават чрез членство в група, а затегнат базов профил или обновяване на политиката може да го отнеме. Груповата политика надделява при следващото обновяване, затова ръчно даденото право може да изчезне отново без предупреждение.

Експортирайте локалната политика за сигурност и прочетете записа, вместо да се доверявате на GUI. Така остава файл за сравнение след обновяване и това е единственият начин да разберете дали промяната е оцеляла. Ако записът е празен или пропуска акаунта, открили сте дефекта. Запишете кой обект на политиката го задава, защото точно този обект се нуждае от трайната поправка.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

Право, приложено локално и презаписано от политиката при следващото обновяване, изглежда като поправка, която е спряла да работи, и ще се провали по същия начин отново.

Обиколката на акаунта, която пренаписва конфигурацията

Има пряк път, който поправя конфигурацията за влизане на услугата без ръчно редактиране на политиката: сменете акаунта, приложете, после го сменете обратно, като оставите полетата за парола празни.

Обиколката пренаписва записа на услугата и отново дава на акаунта нужното право. Това е заобиколно решение, а не поправка на първопричината, затова мястото му е в записа на промените с дата до него. Когато сървъра управлява базов профил, правилната поправка е да добавите акаунта към назначението за влизане като услуга в този профил. Направете това първо, когато можете, и използвайте обиколката само за да отблокирате инсталация, която иначе е заседнала.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Четете състоянието след всяка команда, защото услуга, която стартира под един акаунт, а не под другия, ви показва кое право липсва.

Инсталирайте ролята и докажете, че е инсталирана

Щом услугата работи, добавете ролята отново и включете VPN подфункцията, която наистина смятате да използвате. Общата роля сама по себе си не ви дава работеща VPN крайна точка.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Уверете се, че подфункциите отчитат Installed, а не Available, после отворете конзолата и завършете първоначалната конфигурация, преди някой друг да пипне машината. Ако конзолата все още твърди, че услугата не работи, върнете се към проверката на услугата, вместо да премахвате ролята.

Запишете какво сте променили

Първите избори в съветника задават правилата на защитната стена, разпределението на адреси и дали сървърът очаква DHCP релей. Шепа клиенти точка-до-сайт не се нуждаят от формата на крайна точка сайт-до-сайт. Решете ролята, пула от адреси, метода за удостоверяване и източника на сертификата, преди да кликвате. Гадането тук създава сървър, който се инсталира чисто и никога не приема връзка.

Дръжте отклонението в акаунта на услугата в същата бележка. Проход за затягане, който връща стандартния акаунт, може да възстанови дефекта при следващото рестартиране — месеци след като този, който го е диагностицирал, е преминал на друго.