Chyba 691 VPN ve Windows: která kontrola vlastně selhala?

Windows odmítá heslo, které o minutu dříve jinde přijal, takže účet vypadá rozbitý, i když se pokus vůbec nevyhodnotil. Chyba 691 znamená, že připojení bylo během ověřování odmítnuto, a klient vypíše stejný text, ať už bylo tajemství špatné, název účtu se přeložil na neočekávanou identitu, nebo serverová zásada připojení odmítla. Tři různé opravy sdílejí jednu zprávu, a proto reset někdy pomůže a jindy nezmění vůbec nic. Začněte částí, kterou můžete prohlédnout sami: přesným řetězcem, který klient odeslal, a úložištěm přihlašovacích údajů, ze kterého ho vzal. Potom se serveru zeptejte, jaké rozhodnutí zaznamenal, protože dialog je odmítnutí, ne diagnóza.

Tři způsoby odmítnutí, jeden dialog

Špatné tajemství je jen první cesta k tomuto dialogu. Název účtu se může přeložit na identitu, kterou jste nezamýšleli, účet nemusí mít oprávnění k vytáčenému připojení nebo serverová podmínka může připojení odmítnout poté, co bylo heslo přijato. Každý z těchto případů vytváří stejný text klienta a každý má svou vlastní opravu.

Proto reset v pondělí vypadá, že funguje, a v úterý nedělá nic. Čtěte dialog jako odmítnutí, ne jako diagnózu, a než se účtu dotknete, poznamenejte si název profilu a místní čas selhání.

Tyto tři kategorie selhávají i v různých vrstvách. Špatné tajemství selhává v prokázání identity, špatná forma účtu selhává ve vyhledání a podmínka zásady selhává v autorizaci poté, co je identita prokázána. Jen první se opravuje změnou hesla. Další dvě potřebují někoho s přístupem k záznamu rozhodnutí serveru, a proto je dalším krokem žádost o informace, ne další reset.

Co klient skutečně odeslal

Potvrďte přijímaný formát účtu s tím, kdo spravuje bránu, protože holé uživatelské jméno, jméno s doménou a hlavní uživatelské jméno mohou vést do různých kontextů účtu. Jen jedno z nich může být identita, která má oprávnění. Zeptejte se, jaký tvar brána očekává, před prvním pokusem, ne po pátém, a zkontrolujte, zda klient nepoužívá uložené přihlašovací údaje místo těch, které jste zadali.

Dva dotazy jen pro čtení na počítači s Windows ukážou profil a všechny uložené přihlašovací údaje v mezipaměti, které by mohly dialog přebít. Ani jeden z nich nevytáčí server:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Berte heslo jako data, ne jako text zkopírovaný z dokumentu. Hodnota, která prošla skriptem, může nést escapovací znaky, které nikdy nebyly součástí tajemství, a export konfigurace ji mohl uzavřít do uvozovek. Odstranění každého speciálního znaku, aby se vešla, je jiná změna než nalezení skutečné hodnoty, proto nejprve zjistěte skutečnou hodnotu.

Získejte rozhodnutí zásady, ne reset

V nasazení vzdáleného přístupu se serverem síťových zásad probíhají dvě rozhodnutí za sebou. Ověřování určuje, který účet se ptá, a autorizace rozhoduje, zda se tento účet vůbec smí připojit. Podmínky a omezení zásady se vyhodnocují podle vlastních pravidel, takže správné tajemství vyřeší jen první polovinu otázky. Název zásady v události serveru určuje, které rozhodnutí se skutečně provedlo.

Pošlete správci název profilu, zkoušený účet a časové razítko. Požádejte o odpovídající záznam rozhodnutí a jeho důvod místo dalšího resetu hesla a také o název zásady, který událost nese. Referenční přehled chybových kódů vzdáleného přístupu od Microsoftu uvádí 691 mezi chybami přihlašovacích údajů a ověřování, a právě proto dialog nedokáže tři případy oddělit.

Převod účtu na bezpodmínečné povolení mění rozhodnutí o autorizaci na trvalou výjimku. Zároveň odstraňuje podmínku, která dělala užitečnou práci, a další člověk, který zásadu posoudí, nebude vědět, proč se změnila. Požádejte místo toho vlastníka, aby potvrdil zamýšlenou zásadu, aby přijetí zůstalo vědomé.

Zkuste to jednou znovu, pak porovnejte

Zopakujte stejný profil po jediné opravě, kterou jste určili. Pokud je přístup přijat a nějaký interní prostředek stále selhává, selhání se přesunulo do jiné vrstvy a už o heslu nic neříká. Právě nezměněný profil dělá toto srovnání smysluplným.

Odolejte vypnutí rodiny adres nebo zapnutí podrobného trasování, dokud není odmítnutí vysvětleno. Trasování vytváří objem, ne rozhodnutí, a prvním užitečným výsledkem zůstává komponenta, která pokus odmítla, a důvod, který zaznamenala. Jakmile je to známo, nový pokus buď opravu potvrdí, nebo přinese nový a užší symptom.