Σφάλμα 691 VPN των Windows: ποιος έλεγχος απέτυχε πραγματικά;

Τα Windows απορρίπτουν έναν κωδικό πρόσβασης που δέχτηκαν αλλού ένα λεπτό νωρίτερα, έτσι ο λογαριασμός φαίνεται χαλασμένος ενώ η προσπάθεια δεν αξιολογήθηκε ποτέ. Το σφάλμα 691 σημαίνει ότι η σύνδεση απορρίφθηκε κατά τον έλεγχο ταυτότητας, και ο πελάτης εμφανίζει το ίδιο κείμενο είτε το μυστικό ήταν λάθος, είτε το όνομα λογαριασμού αναλύθηκε σε απρόσμενη ταυτότητα, είτε μια πολιτική στον διακομιστή απέρριψε τη σύνδεση. Τρεις διαφορετικές επισκευές μοιράζονται ένα μήνυμα, γι' αυτό η επαναφορά μερικές φορές βοηθά και μερικές φορές δεν αλλάζει τίποτα. Ξεκινήστε από το μέρος που μπορείτε να ελέγξετε μόνοι σας: την ακριβή συμβολοσειρά που έστειλε ο πελάτης και τον χώρο αποθήκευσης διαπιστευτηρίων από τον οποίο την πήρε. Έπειτα ρωτήστε τον διακομιστή ποια απόφαση κατέγραψε, γιατί ο διάλογος είναι απόρριψη και όχι διάγνωση.

Τρεις τρόποι απόρριψης, ένας διάλογος

Ένα λάθος μυστικό είναι μόνο ο πρώτος δρόμος προς αυτόν τον διάλογο. Το όνομα λογαριασμού μπορεί να αναλυθεί σε ταυτότητα που δεν σκοπεύατε, ο λογαριασμός μπορεί να μην έχει άδεια κλήσης, ή μια συνθήκη στον διακομιστή μπορεί να απορρίψει τη σύνδεση αφού γίνει δεκτός ο κωδικός. Κάθε μία από αυτές τις περιπτώσεις παράγει το ίδιο κείμενο πελάτη, και κάθε μία έχει τη δική της επισκευή.

Γι' αυτό μια επαναφορά φαίνεται να δουλεύει τη Δευτέρα και δεν κάνει τίποτα την Τρίτη. Διαβάστε τον διάλογο ως απόρριψη και όχι ως διάγνωση, και σημειώστε το όνομα προφίλ και την τοπική ώρα της αποτυχίας πριν αγγίξετε τον λογαριασμό.

Οι τρεις κατηγορίες αποτυγχάνουν και σε διαφορετικά επίπεδα. Ένα λάθος μυστικό αποτυγχάνει στην απόδειξη ταυτότητας, μια λάθος μορφή λογαριασμού αποτυγχάνει στην αναζήτηση, και μια συνθήκη πολιτικής αποτυγχάνει στην εξουσιοδότηση αφού αποδειχθεί η ταυτότητα. Μόνο η πρώτη επισκευάζεται αλλάζοντας κωδικό. Οι άλλες δύο χρειάζονται κάποιον με πρόσβαση στο αρχείο αποφάσεων του διακομιστή, γι' αυτό το επόμενο βήμα είναι αίτημα πληροφοριών και όχι άλλη επαναφορά.

Τι έστειλε πραγματικά ο πελάτης

Επιβεβαιώστε τη δεκτή μορφή λογαριασμού με όποιον διαχειρίζεται την πύλη, γιατί ένα σκέτο όνομα χρήστη, ένα όνομα με προσδιορισμό τομέα και ένα κύριο όνομα χρήστη μπορούν να οδηγήσουν σε διαφορετικά περιβάλλοντα λογαριασμού. Μόνο ένα από αυτά μπορεί να είναι η ταυτότητα που κατέχει την άδεια. Ρωτήστε ποια μορφή περιμένει η πύλη πριν από την πρώτη προσπάθεια και όχι μετά την πέμπτη, και ελέγξτε αν ο πελάτης επαναχρησιμοποιεί αποθηκευμένο διαπιστευτήριο αντί για αυτό που πληκτρολογήσατε.

Δύο ερωτήματα μόνο για ανάγνωση στον υπολογιστή Windows δείχνουν το προφίλ και τυχόν προσωρινά αποθηκευμένο διαπιστευτήριο που θα μπορούσε να υπερισχύσει του διαλόγου. Κανένα από τα δύο δεν καλεί τον διακομιστή:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Αντιμετωπίστε τον κωδικό πρόσβασης ως δεδομένα και όχι ως κείμενο αντιγραμμένο από έγγραφο. Μια τιμή που πέρασε από σενάριο μπορεί να φέρει χαρακτήρες διαφυγής που δεν ήταν ποτέ μέρος του μυστικού, και μια εξαγωγή ρυθμίσεων μπορεί να την έχει βάλει σε εισαγωγικά. Η αφαίρεση κάθε ειδικού χαρακτήρα για να ταιριάξει είναι διαφορετική αλλαγή από την εύρεση της πραγματικής τιμής, οπότε πρώτα καθορίστε την πραγματική τιμή.

Ζητήστε την απόφαση της πολιτικής, όχι μια επαναφορά

Σε εγκατάσταση απομακρυσμένης πρόσβασης που χρησιμοποιεί διακομιστή πολιτικής δικτύου, δύο αποφάσεις εκτελούνται διαδοχικά. Ο έλεγχος ταυτότητας καθορίζει ποιος λογαριασμός ρωτά, και η εξουσιοδότηση αποφασίζει αν αυτός ο λογαριασμός επιτρέπεται να συνδεθεί καθόλου. Οι συνθήκες και οι περιορισμοί της πολιτικής αξιολογούνται με δικά τους κριτήρια, οπότε ένα σωστό μυστικό λύνει μόνο το πρώτο μισό του ζητήματος. Το όνομα της πολιτικής στο συμβάν του διακομιστή δείχνει ποια απόφαση εκτελέστηκε πραγματικά.

Στείλτε στον διαχειριστή το όνομα προφίλ, τον λογαριασμό που δοκιμάστηκε και τη χρονική σήμανση. Ζητήστε την αντίστοιχη εγγραφή απόφασης και τον λόγο της αντί για άλλη επαναφορά κωδικού, και ζητήστε το όνομα πολιτικής που φέρει το συμβάν. Η αναφορά κωδικών σφάλματος απομακρυσμένης πρόσβασης της Microsoft καταγράφει το 691 ανάμεσα στις αποτυχίες διαπιστευτηρίων και ελέγχου ταυτότητας, και γι' αυτό ακριβώς ο διάλογος δεν μπορεί να ξεχωρίσει τις τρεις περιπτώσεις.

Η μετατροπή ενός λογαριασμού σε άνευ όρων παραχώρηση μετατρέπει μια απόφαση εξουσιοδότησης σε μόνιμη εξαίρεση. Αφαιρεί επίσης τη συνθήκη που έκανε χρήσιμη δουλειά, και ο επόμενος που θα εξετάσει την πολιτική δεν θα ξέρει γιατί άλλαξε. Ζητήστε αντίθετα από τον ιδιοκτήτη να επιβεβαιώσει την επιδιωκόμενη πολιτική, ώστε η αποδοχή να παραμένει συνειδητή.

Δοκιμάστε ξανά μία φορά και μετά συγκρίνετε

Επαναλάβετε το ίδιο προφίλ μετά τη μοναδική διόρθωση που εντοπίσατε. Αν η πρόσβαση γίνει δεκτή και ένας εσωτερικός πόρος εξακολουθεί να αποτυγχάνει, η αποτυχία μετακινήθηκε σε άλλο επίπεδο και δεν λέει πια τίποτα για τον κωδικό. Το αμετάβλητο προφίλ είναι αυτό που κάνει τη σύγκριση ουσιαστική.

Αντισταθείτε στον πειρασμό να απενεργοποιήσετε μια οικογένεια διευθύνσεων ή να ενεργοποιήσετε λεπτομερή ιχνηλάτηση πριν εξηγηθεί η απόρριψη. Η ιχνηλάτηση παράγει όγκο και όχι απόφαση, και το πρώτο χρήσιμο αποτέλεσμα παραμένει το στοιχείο που απέρριψε την προσπάθεια και ο λόγος που κατέγραψε. Μόλις αυτό γίνει γνωστό, η νέα προσπάθεια είτε επιβεβαιώνει την επισκευή είτε παράγει ένα νέο και στενότερο σύμπτωμα.