La instalación de RRAS falla porque el servicio RemoteAccess se atasca

La instalación del rol se detiene con un error genérico y el registro de eventos no ofrece casi nada con lo que trabajar. En los servidores donde ocurre esto, la pieza que falta no está en el asistente: el servicio Remote Access nunca abandona el estado Starting. Un rol que no puede terminar su propia inicialización vuelve a fallar en cada reintento, así que primero va el servicio y después el asistente. Reparar el derecho de inicio de sesión lleva minutos, y reinstalar el rol una y otra vez no.

Empiece por el servicio, no por el asistente del rol

Abra un símbolo del sistema elevado y lea la configuración del servicio antes de tocar el rol. Dos valores importan: el tipo de inicio y la cuenta con la que se ejecuta el servicio. Una instalación predeterminada registra el servicio para un inicio automático y retrasado con Network Service.

Si el estado se queda en Starting en lugar de Running, el servicio espera algo que no puede obtener, y el derecho de inicio de sesión es el candidato habitual. Esperar más no ayuda, porque el inicio ya ha fallado de una forma que el Administrador de control de servicios informa como pendiente. Detenga el servicio de forma limpia y vuelva a leer su configuración. Después mire el intento de inicio del servicio en el registro de eventos, que es donde el nombre de la cuenta aparece junto al fallo.

El asistente del rol solo informa de que la inicialización ha fallado, y por eso mismo el diagnóstico del servicio va primero.

Lea el derecho de inicio de sesión antes de reinstalar

Network Service necesita el derecho de inicio de sesión como servicio para poder arrancar. Las cuentas integradas suelen recibirlo mediante la pertenencia a un grupo, y una línea base endurecida o un refresco de directiva pueden quitárselo. La directiva de grupo gana en el siguiente refresco, así que una concesión manual puede desaparecer de nuevo sin aviso.

Exporte la directiva de seguridad local y lea la entrada en lugar de confiar en la GUI. Eso le deja un archivo para comparar tras un refresco, y es la única forma de saber si el cambio sobrevivió. Si la entrada está vacía u omite la cuenta, ha encontrado el fallo. Anote qué objeto de directiva lo establece, porque ese objeto es el que necesita la reparación permanente.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

Una concesión aplicada localmente y sobrescrita por la directiva en el siguiente refresco parece una reparación que dejó de funcionar, y volverá a fallar de la misma manera.

La ida y vuelta de la cuenta que reescribe la configuración

Un atajo repara la configuración de inicio de sesión del servicio sin editar la directiva a mano: cambie la cuenta, aplique y luego vuelva a cambiarla con los campos de contraseña vacíos.

La ida y vuelta reescribe el registro del servicio y vuelve a conceder el derecho que la cuenta necesita. Es un rodeo y no una reparación de la causa raíz, así que pertenece al registro de cambios con una fecha al lado. Donde una línea base gestiona el servidor, la reparación correcta es añadir la cuenta a la asignación de inicio de sesión como servicio en esa línea base. Hágalo primero cuando pueda, y use la ida y vuelta solo para desbloquear una instalación que de otro modo está atascada.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Lea el estado después de cada comando, porque un servicio que arranca con una cuenta y no con la otra le dice qué derecho falta.

Instale el rol y demuestre que se ha instalado

Con el servicio en marcha, añada el rol de nuevo e incluya la subfunción VPN que realmente piensa usar. El rol genérico por sí solo no le da un punto de conexión VPN funcional.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Confirme que las subfunciones informan Installed en lugar de Available, y luego abra la consola y complete la configuración inicial antes de que nadie más toque la máquina. Si la consola sigue afirmando que el servicio no está en marcha, vuelva a la comprobación del servicio en lugar de quitar el rol.

Anote qué ha cambiado

Las primeras elecciones del asistente fijan las reglas de firewall, la asignación de direcciones y si el servidor espera un relé DHCP. Un puñado de clientes de punto a sitio no necesita la forma de un punto de conexión de sitio a sitio. Decida el rol, el grupo de direcciones, el método de autenticación y el origen del certificado antes de hacer clic. Adivinar aquí produce un servidor que se instala limpiamente y nunca acepta una conexión.

Mantenga la desviación en la cuenta de servicio en la misma nota. Una pasada de endurecimiento que devuelva la cuenta predeterminada puede restaurar el fallo en el siguiente reinicio, meses después de que quien lo diagnosticó haya seguido adelante.