La instal·lació de RRAS falla perquè el servei RemoteAccess s’encalla

La instal·lació del rol s’atura amb una fallada genèrica i el registre d’esdeveniments no ofereix gairebé res amb què treballar. Als servidors on passa això, la peça que falta no és a l’assistent: el servei Remote Access no surt mai de l’estat Starting. Un rol que no pot acabar la seva pròpia inicialització torna a fallar a cada reintent, així que primer va el servei i després l’assistent. Reparar el dret d’inici de sessió costa minuts, i reinstal·lar el rol una vegada i una altra no.

Comenceu pel servei, no per l’assistent del rol

Obriu un indicador elevat i llegiu la configuració del servei abans de tocar el rol. Dues values importen: el tipus d’inici i el compte amb què corre el servei. Una instal·lació per defecte registra el servei per a un inici automàtic i ajornat sota Network Service.

Si l’estat es queda a Starting en lloc de Running, el servei espera alguna cosa que no pot obtenir, i el dret d’inici de sessió és el candidat habitual. Esperar més no ajuda, perquè l’inici ja ha fallat d’una manera que el Service Control Manager informa com a pendent. Atureu el servei net i torneu a llegir-ne la configuració. Després mireu l’intent d’inici del servei al registre d’esdeveniments, que és on el nom del compte apareix al costat de la fallada.

L’assistent del rol només informa que la inicialització ha fallat, i per això mateix el diagnòstic del servei va primer.

Llegiu el dret d’inici de sessió abans de reinstal·lar

Network Service necessita el dret d’inici de sessió com a servei per poder arrencar. Els comptes integrats normalment el reben per pertinença a un grup, i una línia base endurida o un refresc de política el poden treure. La política de grup guanya al refresc següent, així que una concessió manual pot desaparèixer de nou sense avís.

Exporteu la política de seguretat local i llegiu l’entrada en lloc de confiar en la GUI. Això us deixa un fitxer per comparar després d’un refresc, i és l’única manera de saber si el canvi ha sobreviscut. Si l’entrada és buida o omet el compte, heu trobat la fallada. Anoteu quin objecte de política el defineix, perquè aquest objecte és el que necessita la reparació permanent.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

Una concessió aplicada localment i sobreescrita per la política al refresc següent sembla una reparació que ha deixat de funcionar, i tornarà a fallar de la mateixa manera.

L’anada i tornada del compte que reescriu la configuració

Una drecera repara la configuració d’inici de sessió del servei sense editar la política a mà: canvieu el compte, apliqueu, i després torneu-lo a canviar amb els camps de contrasenya buits.

L’anada i tornada reescriu el registre del servei i torna a concedir el dret que el compte necessita. És una solució provisional i no una reparació de l’arrel, així que pertany al registre de canvis amb una data al costat. On una línia base gestiona el servidor, la reparació correcta és afegir el compte a l’assignació d’inici de sessió com a servei d’aquella línia base. Feu-ho primer quan pugueu, i useu l’anada i tornada només per desbloquejar una instal·lació que d’una altra manera queda encallada.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Llegiu l’estat després de cada ordre, perquè un servei que arrenca amb un compte i no amb l’altre us diu quin dret falta.

Instal·leu el rol i demostreu que s’ha instal·lat

Amb el servei en marxa, torneu a afegir el rol i incloeu la subfunció VPN que realment voleu utilitzar. El rol genèric per si sol no us dona un punt final VPN funcional.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Confirmeu que les subfuncions informen Installed en lloc d’Available, i després obriu la consola i completeu la configuració inicial abans que ningú altre toqui la màquina. Si la consola encara afirma que el servei no s’executa, torneu a la comprovació del servei en lloc de treure el rol.

Anoteu què heu canviat

Les primeres tries de l’assistent fixen les regles de tallafocs, l’assignació d’adreces i si el servidor espera un relé DHCP. Un grapat de clients punt a lloc no necessita la forma d’un punt final de lloc a lloc. Decidiu el rol, el pool d’adreces, el mètode d’autenticació i la font del certificat abans de fer clic. Endevinar aquí produeix un servidor que s’instal·la net i no accepta mai una connexió.

Mantingueu la desviació del compte de servei a la mateixa nota. Una passada d’enduriment que torni el compte per defecte pot restaurar la fallada al proper reinici, mesos després que qui la va diagnosticar hagi marxat.