Error 691 de VPN a Windows: quina comprovació ha fallat realment?

Windows rebutja una contrasenya que havia acceptat en un altre lloc un minut abans, de manera que el compte sembla espatllat quan l'intent no s'havia avaluat mai. L'error 691 significa que la connexió es va rebutjar durant l'autenticació, i el client mostra el mateix text tant si el secret era incorrecte, com si el nom del compte s'havia resolt en una identitat inesperada, com si una política del servidor havia denegat la connexió. Tres reparacions diferents comparteixen un sol missatge, i per això un restabliment de vegades ajuda i de vegades no canvia res. Comenceu per la part que podeu inspeccionar sol: la cadena exacta que va enviar el client i el magatzem de credencials d'on la va treure. Després pregunteu al servidor quina decisió va registrar, perquè el diàleg és una denegació i no un diagnòstic.

Tres maneres de ser rebutjat, un sol diàleg

Un secret incorrecte només és la primera manera d'arribar a aquest diàleg. El nom del compte es pot resoldre en una identitat que no volíeu, el compte pot no tenir permís de marcació o una condició del servidor pot denegar la connexió després d'acceptar la contrasenya. Cadascun d'aquests casos produeix el mateix text al client, i cadascun té la seva pròpia reparació.

Per això un restabliment sembla funcionar dilluns i no fa res dimarts. Llegiu el diàleg com una denegació i no com un diagnòstic, i anoteu el nom del perfil i l'hora local de la fallada abans de tocar el compte.

Les tres categories també fallen en capes diferents. Un secret incorrecte fa fallar la prova d'identitat, una forma de compte incorrecta fa fallar la cerca, i una condició de política fa fallar l'autorització un cop provada la identitat. Només la primera es repara canviant la contrasenya. Les altres dues necessiten algú amb accés al registre de decisions del servidor, i per això el següent pas és una petició d'informació i no un altre restabliment.

Què va enviar realment el client

Confirmeu el format de compte acceptat amb qui gestiona la passarel·la, perquè un nom d'usuari sol, un nom qualificat pel domini i un nom principal d'usuari poden resoldre's en contextos de compte diferents. Només un d'ells pot ser la identitat que té el permís. Pregunteu quina forma espera la passarel·la abans del primer intent i no després del cinquè, i comproveu si el client reutilitza una credencial desada en lloc de la que vau escriure.

Dues consultes de només lectura a la màquina Windows mostren el perfil i qualsevol credencial en memòria cau que podria guanyar el diàleg. No truca al servidor cap de les dues:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Tracteu la contrasenya com a dada i no com a text copiat d'un document. Un valor que ha passat per un script pot portar caràcters d'escapament que mai no formaven part del secret, i una exportació de configuració pot haver-lo posat entre cometes. Treure tots els caràcters especials perquè encaixi és un canvi diferent de trobar el valor real, així que primer establiu el valor real.

Obteniu la decisió de la política, no un restabliment

En un desplegament d'accés remot que utilitza un servidor de polítiques de xarxa, es duen a terme dues decisions en seqüència. L'autenticació estableix quin compte pregunta, i l'autorització decideix si aquest compte es pot connectar. Les condicions i restriccions de la política s'avaluen pels seus propis termes, així que un secret correcte només resol la primera meitat de la qüestió. El nom de la política a l'esdeveniment del servidor identifica quina decisió es va executar realment.

Envieu a l'administrador el nom del perfil, el compte intentat i la marca de temps. Demaneu el registre de decisió corresponent i el seu motiu en lloc d'un altre restabliment de contrasenya, i demaneu el nom de la política que porta l'esdeveniment. La referència de Microsoft sobre els codis d'error d'accés remot inclou el 691 entre les fallades de credencials i autenticació, i és exactament per això que el diàleg no pot separar els tres casos.

Convertir un compte en un permís incondicional transforma una decisió d'autorització en una excepció permanent. També elimina la condició que feia una feina útil, i la propera persona que revisi la política no sabrà per què va canviar. Feu que el propietari confirmi la política prevista, perquè l'acceptació continuï sent deliberada.

Torneu-ho a provar un cop, després compareu

Repetiu el mateix perfil després de l'única correcció que heu identificat. Si s'accepta l'accés i un recurs intern encara falla, la fallada s'ha mogut a una altra capa i ja no diu res sobre la contrasenya. Mantenir el perfil sense canvis és el que fa significativa aquesta comparació.

Resistiu la temptació de desactivar una família d'adreces o d'activar el traçat detallat abans que la denegació s'hagi explicat. El traçat produeix volum i no una decisió, i el primer resultat útil continua sent el component que va rebutjar l'intent i el motiu que va registrar. Un cop se sap això, el reintent o confirma la reparació o produeix un símptoma nou i més estret.