Erro 691 de VPN en Windows: que comprobación fallou realmente?

Windows rexeita un contrasinal que aceptara noutro lugar un minuto antes, así que a conta parece rota cando o intento nunca chegou a avaliarse. O erro 691 significa que a conexión se rexeitou durante a autenticación, e o cliente mostra o mesmo texto tanto se o segredo era incorrecto, como se o nome de conta se resolveu nunha identidade inesperada, como se unha directiva do servidor denegou a conexión. Tres reparacións distintas comparten unha soa mensaxe, por iso un restablecemento ás veces axuda e ás veces non cambia absolutamente nada. Empece pola parte que pode inspeccionar só: a cadea exacta que enviou o cliente e o almacén de credenciais do que a tomou. Logo pregunte ao servidor que decisión rexistrou, porque o diálogo é unha denegación e non un diagnóstico.

Tres formas de ser rexeitado, un só diálogo

Un segredo incorrecto é só a primeira forma de chegar a este diálogo. O nome de conta pode resolverse nunha identidade que vostede non pretendía, a conta pode non ter permiso de marcación, ou unha condición do servidor pode denegar a conexión despois de aceptar o contrasinal. Cada un deses casos produce o mesmo texto no cliente, e cada un ten a súa propia reparación.

Por iso un restablecemento parece funcionar o luns e non fai nada o martes. Lea o diálogo como unha denegación e non como un diagnóstico, e anote o nome do perfil e a hora local do fallo antes de tocar a conta.

As tres categorías tamén fallan en capas distintas. Un segredo incorrecto falla a proba de identidade, unha forma de conta incorrecta falla a busca, e unha condición de directiva falla a autorización unha vez demostrada a identidade. Só a primeira se repara cambiando o contrasinal. As outras dúas necesitan alguén con acceso ao rexistro de decisións do servidor, por iso o seguinte paso é unha solicitude de información e non outro restablecemento.

Que enviou realmente o cliente

Confirme o formato de conta aceptado con quen administra a pasarela, porque un nome de usuario simple, un nome cualificado por dominio e un nome principal de usuario poden resolverse en contextos de conta distintos. Só un deles pode ser a identidade que ten o permiso. Pregunte que forma espera a pasarela antes do primeiro intento e non despois do quinto, e comprobe se o cliente reutiliza unha credencial almacenada en lugar da que escribiu.

Dúas consultas de só lectura na máquina Windows mostran o perfil e calquera credencial na caché que podería impoñerse ao diálogo. Ningunha das dúas marca o servidor:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Trate o contrasinal como datos e non como texto copiado dun documento. Un valor que pasou por un script pode levar caracteres de escape que nunca formaron parte do segredo, e unha exportación de configuración pode tela entrecomillado. Quitar todos os caracteres especiais para que encaixe é un cambio distinto de atopar o valor real, así que estableza primeiro o valor real.

Obteña a decisión da directiva, non un restablecemento

Nunha implantación de acceso remoto que usa un servidor de directivas de rede, execútanse dúas decisións en secuencia. A autenticación establece que conta pregunta, e a autorización decide se esa conta pode conectarse sequera. As condicións e restricións da directiva avalíanse segundo os seus propios criterios, así que un segredo correcto só resolve a primeira metade da cuestión. O nome da directiva no evento do servidor identifica que decisión se executou realmente.

Envíe ao administrador o nome do perfil, a conta intentada e a marca de tempo. Pida o rexistro de decisión correspondente e o seu motivo en lugar doutro restablecemento de contrasinal, e pida o nome da directiva que leva o evento. A referencia de códigos de erro de acceso remoto de Microsoft inclúe o 691 entre os fallos de credenciais e autenticación, e é exactamente por iso que o diálogo non pode separar os tres casos.

Converter unha conta nun permiso incondicional transforma unha decisión de autorización nunha excepción permanente. Tamén elimina a condición que facía un traballo útil, e a próxima persoa que revise a directiva non saberá por que cambiou. Faga que o propietario confirme a directiva prevista, para que a aceptación siga sendo deliberada.

Tente unha vez máis e logo compare

Repita o mesmo perfil despois da única corrección que identificou. Se se acepta o acceso e un recurso interno segue fallando, o fallo trasladouse a outra capa e xa non di nada sobre o contrasinal. Manter o perfil sen cambios é o que fai significativa esa comparación.

Resista a tentación de desactivar unha familia de enderezos ou de activar o seguimento detallado antes de que se explique a denegación. O seguimento produce volume e non unha decisión, e o primeiro resultado útil segue sendo o compoñente que rexeitou o intento e o motivo que rexistrou. Unha vez coñecido, o reintento confirma a reparación ou produce un síntoma novo e máis estreito.