Windowsin VPN-virhe 691: mikä tarkistus oikeastaan epäonnistui?

Windows hylkää salasanan, jonka se hyväksyi toisaalla minuuttia aiemmin, joten tili näyttää rikkinäiseltä vaikka yritystä ei koskaan arvioitu. Virhe 691 tarkoittaa, että yhteys hylättiin todennuksen aikana, ja asiakas näyttää saman tekstin riippumatta siitä, oliko salaisuus väärä, ratkesiko tilin nimi odottamattomaan identiteettiin vai hylkäsikö palvelinpuolen käytäntö yhteyden. Kolme erilaista korjausta jakaa yhden viestin, siksi nollaus joskus auttaa ja joskus ei muuta yhtään mitään. Aloita osasta, jonka voit tutkia itse: tarkka merkkijono, jonka asiakas lähetti, ja tunnistetietovarasto, josta se otti sen. Kysy sitten palvelimelta, minkä päätöksen se kirjasi, koska valintaikkuna on hylkäys eikä diagnoosi.

Kolme tapaa tulla hylätyksi, yksi valintaikkuna

Väärä salaisuus on vain ensimmäinen tie tähän valintaikkunaan. Tilin nimi voi ratketa identiteettiin, jota et tarkoittanut, tilillä ei ehkä ole soittolupaa tai palvelimen ehto voi hylätä yhteyden sen jälkeen, kun salasana on hyväksytty. Jokainen näistä tuottaa saman asiakastekstin, ja jokaisella on oma korjauksensa.

Siksi nollaus näyttää toimivan maanantaina eikä tee mitään tiistaina. Lue valintaikkuna hylkäyksenä, ei diagnoosina, ja kirjaa profiilin nimi ja vian paikallinen kellonaika ennen kuin kosket tilin.

Nämä kolme luokkaa epäonnistuvat myös eri kerroksissa. Väärä salaisuus epäonnistuu identiteetin todistuksessa, väärä tilin muoto epäonnistuu haussa ja käytännön ehto epäonnistuu valtuutuksessa sen jälkeen, kun identiteetti on todistettu. Vain ensimmäinen korjataan salasanaa vaihtamalla. Kaksi muuta tarvitsevat jonkun, jolla on pääsy palvelimen päätösrekisteriin, siksi seuraava askel on tietopyyntö eikä uusi nollaus.

Mitä asiakas todella lähetti

Vahvista hyväksytty tilin muoto yhdyskäytävää ylläpitävän kanssa, koska pelkkä käyttäjänimi, verkkotunnuksella täsmennetty nimi ja käyttäjän päänimi voivat ratketa eri tilikonteksteihin. Vain yksi niistä voi olla identiteetti, jolla on lupa. Kysy, mitä muotoa yhdyskäytävä odottaa ennen ensimmäistä yritystä eikä viidennen jälkeen, ja tarkista, käyttääkö asiakas tallennettua tunnistetietoa kirjoittamasi sijaan.

Kaksi vain luku -kyselyä Windows-koneella näyttävät profiilin ja kaikki välimuistiin tallennetut tunnistetiedot, jotka voisivat syrjäyttää valintaikkunan. Kumpikaan ei soita palvelimelle:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Käsittele salasanaa datana, älä asiakirjasta kopioituna tekstinä. Skriptin läpi kulkenut arvo voi sisältää escape-merkkejä, jotka eivät koskaan olleet osa salaisuutta, ja kokoonpanon vienti on ehkä laittanut sen lainausmerkkeihin. Jokaisen erikoismerkin poistaminen sopivaksi tekemiseksi on eri muutos kuin todellisen arvon löytäminen, joten selvitä ensin todellinen arvo.

Hanki käytännön päätös, älä nollausta

Etäkäyttöön käyttöönotossa, joka käyttää verkkokäytäntöpalvelinta, kaksi päätöstä suoritetaan peräkkäin. Todennus selvittää, mikä tili kysyy, ja valtuutus päättää, saako tili ylipäätään yhdistää. Käytännön ehdot ja rajoitukset arvioidaan omilla perusteillaan, joten oikea salaisuus ratkaisee vain kysymyksen ensimmäisen puolen. Palvelintapahtuman käytännön nimi kertoo, mikä päätös todella suoritettiin.

Lähetä järjestelmänvalvojalle profiilin nimi, yritetty tili ja aikaleima. Pyydä vastaava päätösrekisteri ja sen syy toisen salasanan nollauksen sijaan, ja pyydä käytännön nimi, jonka tapahtuma sisältää. Microsoftin etäkäytön virhekoodien viite luettelee 691:n tunnistetieto- ja todennusvirheiden joukossa, ja juuri siksi valintaikkuna ei voi erottaa kolmea tapausta.

Tilin muuttaminen ehdottomaksi sallimiseksi muuttaa valtuutuspäätöksen pysyväksi poikkeukseksi. Se myös poistaa ehdon, joka teki hyödyllistä työtä, eikä seuraava käytäntöä tarkastava tiedä, miksi se muuttui. Pyydä sen sijaan omistajaa vahvistamaan aiottu käytäntö, jotta hyväksyntä pysyy tarkoituksellisena.

Yritä vielä kerran ja vertaa sitten

Toista sama profiili sen yhden korjauksen jälkeen, jonka tunnistit. Jos pääsy hyväksytään ja jokin sisäinen resurssi epäonnistuu edelleen, vika on siirtynyt toiseen kerrokseen eikä kerro enää mitään salasanasta. Juuri muuttumaton profiili tekee vertailusta mielekkään.

Vastusta kiusausta poistaa osoiteperhe käytöstä tai ottaa yksityiskohtainen jäljitys käyttöön ennen kuin hylkäys on selitetty. Jäljitys tuottaa määrää, ei päätöstä, ja ensimmäinen hyödyllinen tulos on edelleen komponentti, joka hylkäsi yrityksen, ja syy, jonka se kirjasi. Kun se tiedetään, uusintayritys joko vahvistaa korjauksen tai tuottaa uuden ja kapeamman oireen.