Η εγκατάσταση RRAS αποτυγχάνει επειδή η υπηρεσία RemoteAccess κολλάει

Η εγκατάσταση του ρόλου σταματά με ένα γενικό σφάλμα και το αρχείο καταγραφής συμβάντων δεν προσφέρει σχεδόν τίποτα για δουλειά. Στους διακομιστές όπου συμβαίνει αυτό, το κομμάτι που λείπει δεν βρίσκεται καθόλου στον οδηγό: η υπηρεσία Remote Access δεν αφήνει ποτέ την κατάσταση Starting. Ένας ρόλος που δεν μπορεί να ολοκληρώσει τη δική του αρχικοποίηση αποτυγχάνει ξανά σε κάθε νέα προσπάθεια, οπότε πρώτα έρχεται η υπηρεσία και μετά ο οδηγός. Η διόρθωση του δικαιώματος σύνδεσης παίρνει λεπτά, ενώ η επανειλημμένη επανεγκατάσταση του ρόλου όχι.

Ξεκινήστε από την υπηρεσία, όχι από τον οδηγό ρόλου

Ανοίξτε μια γραμμή εντολών με αυξημένα δικαιώματα και διαβάστε τη διαμόρφωση της υπηρεσίας πριν αγγίξετε τον ρόλο. Δύο τιμές έχουν σημασία: ο τύπος εκκίνησης και ο λογαριασμός κάτω από τον οποίο τρέχει η υπηρεσία. Μια προεπιλεγμένη εγκατάσταση καταχωρεί την υπηρεσία για αυτόματη, καθυστερημένη εκκίνηση κάτω από το Network Service.

Αν η κατάσταση μένει στο Starting αντί στο Running, η υπηρεσία περιμένει κάτι που δεν μπορεί να αποκτήσει, και το δικαίωμα σύνδεσης είναι ο συνήθης ύποπτος. Η μεγαλύτερη αναμονή δεν βοηθά, επειδή η εκκίνηση έχει ήδη αποτύχει με τρόπο που ο Service Control Manager αναφέρει ως εκκρεμή. Σταματήστε την υπηρεσία καθαρά και διαβάστε ξανά τη διαμόρφωσή της. Έπειτα κοιτάξτε την προσπάθεια εκκίνησης της υπηρεσίας στο αρχείο συμβάντων, γιατί εκεί εμφανίζεται το όνομα του λογαριασμού δίπλα στην αποτυχία.

Ο οδηγός ρόλου αναφέρει μόνο ότι η αρχικοποίηση απέτυχε, και γι’ αυτό ακριβώς η διάγνωση της υπηρεσίας έρχεται πρώτη.

Διαβάστε το δικαίωμα σύνδεσης πριν κάνετε επανεγκατάσταση

Το Network Service χρειάζεται το δικαίωμα σύνδεσης ως υπηρεσία για να ξεκινήσει. Οι ενσωματωμένοι λογαριασμοί το λαμβάνουν συνήθως μέσω ιδιότητας μέλους ομάδας, και μια σκληρυμένη βάση ή μια ανανέωση πολιτικής μπορεί να το αφαιρέσει. Η Πολιτική Ομάδας κερδίζει στην επόμενη ανανέωση, οπότε μια χειροκίνητη παραχώρηση μπορεί να εξαφανιστεί ξανά χωρίς προειδοποίηση.

Εξαγάγετε την τοπική πολιτική ασφαλείας και διαβάστε την καταχώριση αντί να εμπιστεύεστε το GUI. Αυτό σας αφήνει ένα αρχείο για σύγκριση μετά από μια ανανέωση, και είναι ο μόνος τρόπος να μάθετε αν η αλλαγή επέζησε. Αν η καταχώριση είναι κενή ή παραλείπει τον λογαριασμό, βρήκατε το σφάλμα. Καταγράψτε ποιο αντικείμενο πολιτικής το ορίζει, γιατί αυτό το αντικείμενο χρειάζεται τη μόνιμη διόρθωση.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

Μια παραχώρηση που εφαρμόζεται τοπικά και αντικαθίσταται από την πολιτική στην επόμενη ανανέωση μοιάζει με διόρθωση που σταμάτησε να λειτουργεί, και θα αποτύχει ξανά με τον ίδιο τρόπο.

Η διαδρομή μετ’ επιστροφής του λογαριασμού που ξαναγράφει τη διαμόρφωση

Μια συντόμευση επισκευάζει τη διαμόρφωση σύνδεσης της υπηρεσίας χωρίς χειροκίνητη επεξεργασία της πολιτικής: αλλάξτε τον λογαριασμό, εφαρμόστε, και μετά αλλάξτε τον πίσω με τα πεδία κωδικού κενά.

Η διαδρομή ξαναγράφει την εγγραφή της υπηρεσίας και παραχωρεί ξανά το δικαίωμα που χρειάζεται ο λογαριασμός. Είναι παράκαμψη και όχι διόρθωση της ρίζας, οπότε ανήκει στο αρχείο αλλαγών με μια ημερομηνία δίπλα της. Όπου μια βάση διαχειρίζεται τον διακομιστή, η σωστή επισκευή είναι να προσθέσετε τον λογαριασμό στην ανάθεση σύνδεσης ως υπηρεσία σε εκείνη τη βάση. Κάντε το πρώτα όταν μπορείτε, και χρησιμοποιήστε τη διαδρομή μόνο για να ξεμπλοκάρετε μια εγκατάσταση που κατά τα άλλα έχει κολλήσει.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Διαβάστε την κατάσταση μετά από κάθε εντολή, γιατί μια υπηρεσία που ξεκινά κάτω από έναν λογαριασμό και όχι κάτω από τον άλλο σας λέει ποιο δικαίωμα λείπει.

Εγκαταστήστε τον ρόλο και αποδείξτε ότι εγκαταστάθηκε

Με την υπηρεσία σε λειτουργία, προσθέστε ξανά τον ρόλο και συμπεριλάβετε τη δευτερεύουσα δυνατότητα VPN που σκοπεύετε πραγματικά να χρησιμοποιήσετε. Ο γενικός ρόλος από μόνος του δεν σας δίνει λειτουργικό τελικό σημείο VPN.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Επιβεβαιώστε ότι οι δευτερεύουσες δυνατότητες αναφέρουν Installed και όχι Available, και μετά ανοίξτε την κονσόλα και ολοκληρώστε την αρχική διαμόρφωση πριν αγγίξει το μηχάνημα οποιοσδήποτε άλλος. Αν η κονσόλα εξακολουθεί να ισχυρίζεται ότι η υπηρεσία δεν τρέχει, επιστρέψτε στον έλεγχο της υπηρεσίας αντί να αφαιρέσετε τον ρόλο.

Γράψτε τι αλλάξατε

Οι πρώτες επιλογές του οδηγού ορίζουν κανόνες τείχους προστασίας, εκχώρηση διευθύνσεων και αν ο διακομιστής περιμένει αναμεταδότη DHCP. Μια χούφτα πελάτες σημείου-σε-τόπο δεν χρειάζονται τη μορφή τελικού σημείου τόπου-σε-τόπο. Αποφασίστε τον ρόλο, τη δεξαμενή διευθύνσεων, τη μέθοδο ελέγχου ταυτότητας και την πηγή πιστοποιητικού πριν κάνετε κλικ. Το να μαντέψετε εδώ παράγει έναν διακομιστή που εγκαθίσταται καθαρά και δεν δέχεται ποτέ σύνδεση.

Κρατήστε την απόκλιση στον λογαριασμό υπηρεσίας στο ίδιο σημείωμα. Ένα πέρασμα σκλήρυνσης που επαναφέρει τον προεπιλεγμένο λογαριασμό μπορεί να επαναφέρει το σφάλμα στην επόμενη επανεκκίνηση, μήνες αφότου όποιος το είχε διαγνώσει έχει προχωρήσει.