Windowsi VPN-i viga 691: milline kontroll tegelikult ebaõnnestus?

Windows keeldub paroolist, mille ta oli minut varem mujal vastu võtnud, nii et konto näib katki, kuigi katset ei hinnatud kunagi. Viga 691 tähendab, et ühendus keelduti autentimise ajal, ja klient kuvab sama teksti olenemata sellest, kas saladus oli vale, kas kontonimi lahenes ootamatule identiteedile või keeldus serveripoolne poliitika ühendusest. Kolm erinevat parandust jagavad ühte sõnumit, seetõttu mõnikord lähtestamine aitab ja mõnikord ei muuda üldse midagi. Alustage sellest osast, mida saate üksi uurida: täpne string, mille klient saatis, ja mandaadihoidla, kust ta selle võttis. Seejärel küsige serverilt, millise otsuse see salvestas, sest dialoog on keeldumine, mitte diagnoos.

Kolm viisi keeldumiseks, üks dialoog

Vale saladus on vaid esimene tee sellesse dialoogi. Kontonimi võib laheneda identiteedile, mida te ei kavatsenud, kontol ei pruugi olla sissehelistamise õigust või võib serveritingimus ühenduse keelduda pärast parooli vastuvõtmist. Igaüks neist loob sama kliendi teksti ja igaühel on oma parandus.

Seetõttu näib lähtestamine esmaspäeval toimivat ja ei tee teisipäeval midagi. Lugege dialoogi keeldumisena, mitte diagnoosina, ja märkige enne konto puudutamist üles profiili nimi ja tõrke kohalik kellaaeg.

Need kolm kategooriat ebaõnnestuvad ka erinevatel kihtidel. Vale saladus ebaõnnestub identiteedi tõestamisel, vale kontovorm ebaõnnestub otsingul ja poliitikatingimus ebaõnnestub autoriseerimisel pärast identiteedi tõestamist. Ainult esimest parandatakse parooli muutmisega. Ülejäänud kaks vajavad kedagi, kellel on juurdepääs serveri otsusteregistrile, seetõttu on järgmine samm teabe taotlemine, mitte veel üks lähtestamine.

Mida klient tegelikult saatis

Kinnitage aktsepteeritud kontovorm lüüsi haldajaga, sest paljas kasutajanimi, domeeniga kvalifitseeritud nimi ja kasutaja põhinimi võivad laheneda erinevatele kontokontekstidele. Ainult üks neist võib olla identiteet, kellel on luba. Küsige, millist vormi lüüs ootab, enne esimest katset, mitte pärast viiendat, ja kontrollige, kas klient kasutab salvestatud mandaati teie sisestatu asemel.

Kaks ainult lugemise päringut Windowsi masinas näitavad profiili ja kõiki vahemällu salvestatud mandaate, mis võiksid dialoogi üle mängida. Kumbki ei helista serverile:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Käsitlege parooli andmetena, mitte dokumendist kopeeritud tekstina. Skripti läbinud väärtus võib kanda paomärke, mis ei olnud kunagi saladuse osa, ja konfiguratsiooni eksport võis selle jutumärkidesse panna. Iga erimärgi eemaldamine, et see sobiks, on teistsugune muudatus kui tegeliku väärtuse leidmine, seega tehke esmalt kindlaks tegelik väärtus.

Hankige poliitika otsus, mitte lähtestamine

Kaugjuurdepääsu juurutuses, mis kasutab võrgupoliitika serverit, jooksevad kaks otsust järjest. Autentimine teeb kindlaks, milline konto küsib, ja autoriseerimine otsustab, kas see konto tohib üldse ühenduda. Poliitika tingimusi ja piiranguid hinnatakse nende endi alusel, seega õige saladus lahendab ainult küsimuse esimese poole. Poliitika nimi serveri sündmuses näitab, milline otsus tegelikult jooksis.

Saatke administraatorile profiili nimi, proovitud konto ja ajatempel. Küsige vastava otsusteregistri ja selle põhjuse järele teise paroolilähtestamise asemel ning küsige poliitika nime, mida sündmus kannab. Microsofti kaugjuurdepääsu veakoodide viide loetleb 691 mandaadi- ja autentimistõrgete hulgas, ja just seetõttu ei suuda dialoog kolme juhtumit eristada.

Konto muutmine tingimusteta lubamiseks muudab autoriseerimisotsuse alaliseks erandiks. See eemaldab ka tingimuse, mis tegi kasulikku tööd, ja järgmine poliitikat üle vaatav inimene ei tea, miks see muutus. Paluge selle asemel omanikul kavatsetud poliitika kinnitada, et vastuvõtt jääks teadlikuks.

Proovige veel kord, seejärel võrrelge

Korrake sama profiili pärast ühte parandust, mille tuvastasite. Kui juurdepääs võetakse vastu ja mõni sisemine ressurss ikka ebaõnnestub, on tõrge liikunud teisele kihile ega ütle enam parooli kohta midagi. Just muutmata profiil teeb selle võrdluse sisukaks.

Vastustage kiusatusele enne keeldumise selgitamist aadressiperekond välja lülitada või üksikasjalik jälgimine sisse lülitada. Jälgimine tekitab mahtu, mitte otsust, ja esimene kasulik tulemus on endiselt komponent, mis katse keeldus, ja põhjus, mille see salvestas. Kui see on teada, kinnitab korduskatse kas paranduse või tekitab uue ja kitsama sümptomi.