RRAS-Installation schlägt fehl, weil der RemoteAccess-Dienst hängt

Die Installation der Rolle bricht mit einem allgemeinen Fehler ab, und das Ereignisprotokoll bietet fast nichts, womit man arbeiten könnte. Auf den Servern, auf denen das passiert, fehlt das Teil überhaupt nicht im Assistenten: Der Dienst Remote Access verlässt den Zustand Starting nie. Eine Rolle, die ihre eigene Initialisierung nicht abschließen kann, scheitert bei jedem neuen Versuch wieder, also kommt zuerst der Dienst und danach der Assistent. Das Reparieren des Anmelderechts dauert Minuten, das wiederholte Neuinstallieren der Rolle nicht.

Beim Dienst anfangen, nicht beim Rollenassistenten

Öffnen Sie eine erhöhte Eingabeaufforderung und lesen Sie die Dienstkonfiguration, bevor Sie die Rolle anfassen. Zwei Werte zählen: der Starttyp und das Konto, unter dem der Dienst läuft. Eine Standardinstallation registriert den Dienst für einen automatischen, verzögerten Start unter Network Service.

Steht der Status auf Starting statt auf Running, wartet der Dienst auf etwas, das er nicht bekommen kann, und das Anmelderecht ist der übliche Kandidat. Länger zu warten hilft nicht, weil der Start bereits auf eine Weise fehlgeschlagen ist, die der Service Control Manager als ausstehend meldet. Beenden Sie den Dienst sauber und lesen Sie seine Konfiguration erneut. Schauen Sie dann auf den Startversuch des Dienstes im Ereignisprotokoll, denn dort erscheint der Kontoname neben dem Fehler.

Der Rollenassistent meldet nur, dass die Initialisierung fehlgeschlagen ist, und genau deshalb gehört die Dienstdiagnose an die erste Stelle.

Lesen Sie das Anmelderecht, bevor Sie neu installieren

Network Service braucht das Recht zur Anmeldung als Dienst, um starten zu können. Integrierte Konten erhalten es normalerweise über die Gruppenmitgliedschaft, und eine gehärtete Baseline oder eine Richtlinienaktualisierung kann es entziehen. Die Gruppenrichtlinie gewinnt bei der nächsten Aktualisierung, sodass eine manuelle Zuweisung ohne Warnung wieder verschwinden kann.

Exportieren Sie die lokale Sicherheitsrichtlinie und lesen Sie den Eintrag, statt der GUI zu vertrauen. Das hinterlässt eine Datei zum Vergleichen nach einer Aktualisierung, und nur so lässt sich feststellen, ob die Änderung überlebt hat. Ist der Eintrag leer oder fehlt das Konto, haben Sie den Fehler gefunden. Notieren Sie, welches Richtlinienobjekt ihn setzt, denn genau dieses Objekt braucht die dauerhafte Korrektur.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

Eine lokal gesetzte und bei der nächsten Aktualisierung von der Richtlinie überschriebene Zuweisung sieht wie eine Reparatur aus, die aufgehört hat zu wirken, und sie wird auf dieselbe Weise wieder scheitern.

Die Kontorunde, die die Konfiguration neu schreibt

Eine Abkürzung repariert die Anmeldekonfiguration des Dienstes ohne manuelles Bearbeiten der Richtlinie: Konto ändern, anwenden, dann mit leeren Passwortfeldern zurückändern.

Die Runde schreibt den Diensteintrag neu und erteilt dem Konto das benötigte Recht erneut. Sie ist ein Umweg und keine Behebung der Ursache, gehört also mit einem Datum daneben in die Änderungsaufzeichnung. Wo eine Baseline den Server verwaltet, ist die richtige Reparatur, das Konto der Zuweisung für die Anmeldung als Dienst in dieser Baseline hinzuzufügen. Tun Sie das zuerst, wenn Sie können, und nutzen Sie die Runde nur, um eine Installation zu entblocken, die sonst feststeckt.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Lesen Sie den Status nach jedem Befehl, denn ein Dienst, der unter einem Konto startet und unter dem anderen nicht, sagt Ihnen, welches Recht fehlt.

Installieren Sie die Rolle und weisen Sie die Installation nach

Fügen Sie bei laufendem Dienst die Rolle erneut hinzu und nehmen Sie die VPN-Unterfunktion auf, die Sie tatsächlich nutzen wollen. Die allgemeine Rolle allein liefert Ihnen keinen funktionierenden VPN-Endpunkt.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Bestätigen Sie, dass die Unterfunktionen Installed statt Available melden, öffnen Sie dann die Konsole und schließen Sie die Ersteinrichtung ab, bevor jemand anderes die Maschine anfasst. Behauptet die Konsole weiterhin, der Dienst laufe nicht, kehren Sie zur Dienstprüfung zurück, statt die Rolle zu entfernen.

Schreiben Sie auf, was Sie geändert haben

Die ersten Entscheidungen des Assistenten legen Firewallregeln, Adressvergabe und die Frage fest, ob der Server ein DHCP-Relay erwartet. Eine Handvoll Punkt-zu-Standort-Clients braucht nicht die Form eines Standort-zu-Standort-Endpunkts. Legen Sie Rolle, Adresspool, Authentifizierungsmethode und Zertifikatsquelle fest, bevor Sie durchklicken. Raten erzeugt hier einen Server, der sich sauber installiert und nie eine Verbindung annimmt.

Halten Sie die Abweichung beim Dienstkonto in derselben Notiz fest. Ein Härtungsdurchgang, der das Standardkonto zurücksetzt, kann den Fehler beim nächsten Neustart wiederherstellen, Monate nachdem derjenige, der ihn diagnostiziert hat, weitergezogen ist.