Instalace RRAS selhává, protože služba RemoteAccess uvízne

Role Routing and Remote Access může selhat, protože její služba zůstává viset ve stavu Starting. Ověřte právo přihlášení jako služba dřív, než cokoli přeinstalujete.

Instalace role se zastaví s obecnou chybou a protokol událostí nenabízí téměř nic, s čím by se dalo pracovat. Na serverech, kde se to děje, chybějící díl není vůbec v průvodci: služba Remote Access nikdy neopustí stav Starting. Role, která nemůže dokončit vlastní inicializaci, znovu selže při každém pokusu, takže nejdřív je služba a teprve potom průvodce. Oprava práva přihlášení trvá minuty, kdežto opakované přeinstalování role ne.

Začněte u služby, ne u průvodce role

Otevřete zvýšený příkazový řádek a přečtěte konfiguraci služby, než se role dotknete. Na dvou hodnotách záleží: typ spuštění a účet, pod kterým služba běží. Výchozí instalace registruje službu pro automatické, zpožděné spuštění pod Network Service.

Pokud stav zůstává na Starting místo Running, služba čeká na něco, co nemůže získat, a právem přihlášení to obvykle bývá. Delší čekání nepomůže, protože spuštění už selhalo způsobem, který Service Control Manager hlásí jako čekající. Zastavte službu čistě a přečtěte její konfiguraci znovu. Pak se podívejte na pokus o spuštění služby v protokolu událostí, právě tam se objevuje jméno účtu vedle selhání.

Průvodce role hlásí jen to, že inicializace selhala, a právě proto má diagnostika služby přijít první.

Přečtěte právo přihlášení, než začnete přeinstalovávat

Network Service potřebuje právo přihlášení jako služba, aby se mohla spustit. Vestavěné účty ho obvykle dostávají členstvím ve skupině a zpevněný baseline nebo obnovení zásad ho může odebrat. Zásady skupiny vyhrají při příštím obnovení, takže ručně udělené právo může znovu zmizet bez varování.

Exportujte místní zásady zabezpečení a přečtěte záznam, místo abyste věřili GUI. Zůstane vám soubor pro porovnání po obnovení, a to je jediný způsob, jak zjistit, zda změna přežila. Pokud je záznam prázdný nebo účet vynechává, našli jste závadu. Zapište, který objekt zásad ho nastavuje, protože právě ten objekt potřebuje trvalou opravu.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

Právo udělené místně a přepsané zásadami při příštím obnovení vypadá jako oprava, která přestala fungovat, a selže znovu stejným způsobem.

Okružní cesta účtu, která přepisuje konfiguraci

Zkratka opraví konfiguraci přihlášení služby bez ruční úpravy zásad: změňte účet, použijte, a pak ho změňte zpět s prázdnými poli pro heslo.

Okružní cesta přepíše záznam služby a znovu udělí právo, které účet potřebuje. Je to obejití, nikoli oprava kořenové příčiny, takže patří do záznamu změn s datem po boku. Tam, kde server spravuje baseline, je správnou opravou přidat účet do přiřazení přihlášení jako služba v tomto baseline. Udělejte to nejdřív, když můžete, a okružní cestu použijte jen k odblokování instalace, která je jinak zaseknutá.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Po každém příkazu čtěte stav, protože služba, která se spustí pod jedním účtem a ne pod druhým, vám řekne, které právo chybí.

Nainstalujte roli a dokažte, že je nainstalovaná

Když služba běží, přidejte roli znovu a zahrňte podfunkci VPN, kterou opravdu chcete používat. Obecná role sama o sobě vám funkční koncový bod VPN nedá.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Ověřte, že podfunkce hlásí Installed, nikoli Available, pak otevřete konzoli a dokončete počáteční konfiguraci, než se stroje dotkne někdo jiný. Pokud konzole stále tvrdí, že služba neběží, vraťte se ke kontrole služby, místo abyste roli odebírali.

Zapište, co jste změnili

První volby průvodce nastavují pravidla firewallu, přidělování adres a to, zda server očekává DHCP relay. Hrstka klientů point-to-site nepotřebuje podobu koncového bodu site-to-site. Rozhodněte roli, fond adres, metodu ověřování a zdroj certifikátu, než začnete klikat. Hádání zde vytvoří server, který se čistě nainstaluje a nikdy nepřijme spojení.

Držte odchylku v účtu služby ve stejné poznámce. Průchod zpevňování, který vrátí výchozí účet, může závadu obnovit při příštím restartu, měsíce poté, co ten, kdo ji diagnostikoval, odešel jinam.

Související články