A instalación de RRAS falla porque o servizo RemoteAccess queda atascado

A instalación do rol detense cun erro xenérico e o rexistro de eventos non ofrece case nada con que traballar. Nos servidores onde isto ocorre, a peza que falta non está no asistente: o servizo Remote Access nunca abandona o estado Starting. Un rol que non pode rematar a súa propia inicialización volve fallar en cada intento, así que primeiro vai o servizo e despois o asistente. Reparar o dereito de inicio de sesión leva minutos, e reinstalar o rol unha e outra vez non.

Comece polo servizo, non polo asistente do rol

Abra unha consola elevada e lea a configuración do servizo antes de tocar o rol. Dous valores importan: o tipo de inicio e a conta coa que se executa o servizo. Unha instalación predeterminada rexistra o servizo para un inicio automático e atrasado baixo Network Service.

Se o estado queda en Starting en lugar de Running, o servizo espera algo que non pode obter, e o dereito de inicio de sesión é o candidato habitual. Esperar máis non axuda, porque o inicio xa fallou dun xeito que o Service Control Manager informa como pendente. Deteña o servizo de forma limpa e volva ler a súa configuración. Despois mire o intento de inicio do servizo no rexistro de eventos, que é onde o nome da conta aparece xunto ao fallo.

O asistente do rol só informa de que a inicialización fallou, e por iso mesmo o diagnóstico do servizo vai primeiro.

Lea o dereito de inicio de sesión antes de reinstalar

Network Service necesita o dereito de inicio de sesión como servizo para poder arrincar. As contas integradas adoitan recibilo mediante a pertenza a un grupo, e unha liña base endurecida ou un refresco de política poden quitárllelo. A política de grupo gaña no seguinte refresco, así que unha concesión manual pode desaparecer de novo sen aviso.

Exporte a política de seguridade local e lea a entrada en lugar de confiar na GUI. Iso déixalle un ficheiro para comparar tras un refresco, e é a única forma de saber se o cambio sobreviviu. Se a entrada está baleira ou omite a conta, atopou o fallo. Anote que obxecto de política o establece, porque ese obxecto é o que necesita a reparación permanente.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

Unha concesión aplicada localmente e sobrescrita pola política no seguinte refresco parece unha reparación que deixou de funcionar, e volverá fallar do mesmo xeito.

A ida e volta da conta que reescribe a configuración

Un atallo repara a configuración de inicio de sesión do servizo sen editar a política a man: cambie a conta, aplique e despois volva cambiala cos campos de contrasinal baleiros.

A ida e volta reescribe o rexistro do servizo e volve conceder o dereito que a conta necesita. É unha volta e non unha reparación da causa raíz, así que pertence ao rexistro de cambios cunha data ao lado. Onde unha liña base xestiona o servidor, a reparación correcta é engadir a conta á asignación de inicio de sesión como servizo nesa liña base. Fágao primeiro cando poida, e use a ida e volta só para desbloquear unha instalación que doutro xeito está atascada.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Lea o estado despois de cada orde, porque un servizo que arrinca cunha conta e non coa outra dille que dereito falta.

Instale o rol e demostre que está instalado

Co servizo en marcha, engada o rol de novo e inclúa a subfunción VPN que realmente pensa usar. O rol xenérico por si só non lle dá un punto final VPN funcional.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Confirme que as subfuncións informan Installed en lugar de Available, e despois abra a consola e complete a configuración inicial antes de que ninguén máis toque a máquina. Se a consola segue afirmando que o servizo non está en marcha, volva á comprobación do servizo en lugar de quitar o rol.

Anote que cambiou

As primeiras escollas do asistente fixan as regras de devasas, a asignación de enderezos e se o servidor espera un relé DHCP. Unha manchea de clientes de punto a sitio non necesita a forma dun punto final de sitio a sitio. Decida o rol, o conxunto de enderezos, o método de autenticación e a orixe do certificado antes de facer clic. Adiviñar aquí produce un servidor que se instala limpiamente e nunca acepta unha conexión.

Manteña a desviación na conta de servizo na mesma nota. Unha pasada de endurecemento que devolva a conta predeterminada pode restaurar o fallo no seguinte reinicio, meses despois de que quen o diagnosticou teña avanzado.