Instalado de RRAS malsukcesas ĉar la servo RemoteAccess haltiĝas

La instalado de la rolo haltas kun ĝenerala eraro, kaj la eventoprotokolo preskaŭ nenion ofertas por labori. Sur la serviloj kie tio okazas, la mankanta peco tute ne estas en la asistanto: la servo Remote Access neniam forlasas la staton Starting. Rolo, kiu ne povas fini sian propran pravalorizon, denove malsukcesas ĉe ĉiu provo, do la servo venas unue kaj la asistanto due. Ripari la ensalutan rajton daŭras minutojn, kaj ripete reinstali la rolon ne.

Komencu ĉe la servo, ne ĉe la rola asistanto

Malfermu altigitan komandan prompton kaj legu la agordon de la servo antaŭ ol tuŝi la rolon. Du valoroj gravas: la starta tipo kaj la konto sub kiu la servo funkcias. Defaŭlta instalado registras la servon por aŭtomata, prokrastita starto sub Network Service.

Se la stato restas ĉe Starting anstataŭ Running, la servo atendas ion, kion ĝi ne povas akiri, kaj la ensaluta rajto estas la kutima kandidato. Pli longa atendo ne helpas, ĉar la starto jam malsukcesis tiel, ke la Service Control Manager raportas ĝin kiel pritraktata. Haltigu la servon pure kaj legu ĝian agordon denove. Poste rigardu la startprovon de la servo en la eventoprotokolo, ĉar tie la kontnomo aperas apud la eraro.

La rola asistanto raportas nur ke la pravalorizo malsukcesis, kaj ĝuste tial la diagnozo de la servo apartenas unue.

Legu la ensalutan rajton antaŭ ol reinstali

Network Service bezonas la rajton ensaluti kiel servo por povi starti. Enkonstruitaj kontoj kutime ricevas ĝin per grupana membreco, kaj hardita bazlinio aŭ politika refreŝigo povas forpreni ĝin. Grupa Politiko venkas ĉe la sekva refreŝigo, do permana dono povas denove malaperi sen averto.

Eksportu la lokan sekurecan politikon kaj legu la enskribon anstataŭ fidi la GUI. Tio lasas al vi dosieron por kompari post refreŝigo, kaj tio estas la sola maniero scii, ĉu la ŝanĝo postvivis. Se la enskribo estas malplena aŭ preterlasas la konton, vi trovis la difekton. Notu, kiu politika objekto ĝin fiksas, ĉar tiu objekto bezonas la daŭran riparon.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

Dono aplikita loke kaj anstataŭigita de politiko ĉe la sekva refreŝigo aspektas kiel riparo, kiu ĉesis funkcii, kaj ĝi denove malsukcesos same.

La konta returniro, kiu reverkas la agordon

Mallongigo riparas la ensalutan agordon de la servo sen permana redaktado de la politiko: ŝanĝu la konton, apliku, poste ŝanĝu ĝin reen kun malplenaj pasvortaj kampoj.

La returniro reverkas la servan registraĵon kaj redonas al la konto la rajton, kiun ĝi bezonas. Ĝi estas flankvojo, ne riparo de la radika kaŭzo, do ĝi apartenas al la ŝanĝprotokolo kun dato apude. Kie bazlinio administras la servilon, la ĝusta riparo estas aldoni la konton al la nomumo de ensaluto kiel servo en tiu bazlinio. Faru tion unue kiam vi povas, kaj uzu la returniron nur por malbloki instaladon, kiu alie estas blokita.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Legu la staton post ĉiu komando, ĉar servo, kiu startas sub unu konto kaj ne sub la alia, diras al vi, kiu rajto mankas.

Instalu la rolon kaj pruvu, ke ĝi estas instalita

Kun la servo funkcianta, aldonu la rolon denove kaj inkluzivu la VPN-subfunkcion, kiun vi vere intencas uzi. La ĝenerala rolo sola ne donas al vi funkciantan VPN-finejon.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Konfirmu, ke la subfunkcioj raportas Installed anstataŭ Available, poste malfermu la konzolon kaj kompletigu la komencan agordon antaŭ ol iu ajn alia tuŝos la maŝinon. Se la konzolo ankoraŭ asertas, ke la servo ne funkcias, revenu al la servo-kontrolo anstataŭ forigi la rolon.

Skribu, kion vi ŝanĝis

La unuaj elektoj de la asistanto fiksas fajroŝirmilajn regulojn, adresan asignadon kaj ĉu la servilo atendas DHCP-relajon. Plenmano da punkt-al-loka klientoj ne bezonas la formon de loka-al-loka finejo. Decidu la rolon, la adresan naĝejon, la aŭtentigan metodon kaj la fonton de la atestilo antaŭ ol klaki trae. Diveni ĉi tie produktas servilon, kiu instaliĝas pure kaj neniam akceptas konekton.

Tenu la deflankiĝon en la serva konto en la sama noto. Harda fazo, kiu remetas la defaŭltan konton, povas restarigi la difekton ĉe la sekva restartigo, monatojn post kiam la diagnozinto jam foriris al alia laboro.