RRAS-installation mislykkes, fordi RemoteAccess-tjenesten går i stå

Installationen af rollen stopper med en generisk fejl, og hændelsesloggen giver næsten intet at arbejde med. På de servere, hvor det sker, er den manglende brik slet ikke i guiden: Remote Access-tjenesten forlader aldrig tilstanden Starting. En rolle, der ikke kan afslutte sin egen initialisering, fejler igen ved hvert nyt forsøg, så tjenesten kommer først og guiden bagefter. Det tager minutter at reparere logonrettigheden, og det gør gentagen geninstallation af rollen ikke.

Start ved tjenesten, ikke ved rollequiden

Åbn en forhøjet kommandoprompt, og læs tjenestens konfiguration, før du rører rollen. To værdier betyder noget: starttypen og den konto, tjenesten kører under. En standardinstallation registrerer tjenesten til en automatisk, forsinket start under Network Service.

Hvis status står på Starting i stedet for Running, venter tjenesten på noget, den ikke kan få, og logonrettigheden er den sædvanlige kandidat. Længere ventetid hjælper ikke, fordi starten allerede er fejlet på en måde, som Service Control Manager rapporterer som afventende. Stop tjenesten rent, og læs dens konfiguration igen. Se derefter på tjenestens startforsøg i hændelsesloggen, for det er der, kontonavnet står ved siden af fejlen.

Rolleguiden rapporterer kun, at initialiseringen fejlede, og netop derfor hører tjenestediagnosen først.

Læs logonrettigheden, før du geninstallerer

Network Service har brug for rettigheden til at logge på som tjeneste for at starte. Indbyggede konti får den normalt via gruppemedlemskab, og en hærdet baseline eller en politikopdatering kan tage den væk. Gruppepolitik vinder ved næste opdatering, så en manuel tildeling kan forsvinde igen uden varsel.

Eksportér den lokale sikkerhedspolitik, og læs posten i stedet for at stole på GUI’et. Det efterlader en fil til at sammenligne efter en opdatering, og det er den eneste måde at vide, om ændringen overlevede. Hvis posten er tom eller udelader kontoen, har du fundet fejlen. Notér, hvilket politikobjekt der sætter den, for det objekt er det, der har brug for den permanente rettelse.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

En tildeling, der anvendes lokalt og overskrives af politik ved næste opdatering, ligner en rettelse, der holdt op med at virke, og den vil fejle igen på samme måde.

Kontoens tur frem og tilbage, som omskriver konfigurationen

En genvej reparerer tjenestens logonkonfiguration uden at redigere politikken i hånden: skift kontoen, anvend, og skift den så tilbage med adgangskodefelterne tomme.

Turen omskriver tjenesteposten og tildeler igen den rettighed, kontoen har brug for. Det er en omvej og ikke en rettelse af den grundlæggende årsag, så den hører til i ændringsloggen med en dato ved siden af. Hvor en baseline styrer serveren, er den korrekte reparation at tilføje kontoen til tildelingen af logon som tjeneste i den baseline. Gør det først, når du kan, og brug kun turen til at åbne en installation, der ellers sidder fast.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Læs status efter hver kommando, fordi en tjeneste, der starter under én konto og ikke under den anden, fortæller dig, hvilken rettighed der mangler.

Installér rollen, og bevis at den er installeret

Når tjenesten kører, tilføj rollen igen, og medtag den VPN-underfunktion, du faktisk vil bruge. Den generiske rolle alene giver dig ikke et fungerende VPN-endepunkt.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Bekræft, at underfunktionerne rapporterer Installed i stedet for Available, og åbn derefter konsollen og fuldfør den indledende konfiguration, før nogen andre rører boksen. Hvis konsollen stadig hævder, at tjenesten ikke kører, så vend tilbage til tjenestekontrollen i stedet for at fjerne rollen.

Skriv ned, hvad du ændrede

Guidens første valg sætter firewallregler, adressetildeling og om serveren forventer en DHCP-relay. En håndfuld punkt-til-sted-klienter har ikke brug for formen af et sted-til-sted-endepunkt. Beslut rollen, adressepuljen, godkendelsesmetoden og certifikatkilden, før du klikker videre. Gætteri her giver en server, der installeres rent og aldrig accepterer en forbindelse.

Behold afvigelsen i servicekontoen i samme note. En hærdningsrunde, der sætter standardkontoen tilbage, kan genskabe fejlen ved næste genstart, måneder efter at den, der diagnosticerede den, er gået videre.