Windows VPN greška 691: koja provjera je zapravo pala?

Windows odbija lozinku koju je prihvatio negdje drugdje prije minute, pa račun izgleda pokvareno iako pokušaj nikada nije ocijenjen. Greška 691 znači da je veza odbijena tijekom provjere identiteta, a klijent ispisuje isti tekst bez obzira na to je li tajna pogrešna, je li se naziv računa razriješio u neočekivani identitet ili je serverska politika odbila vezu. Tri različita popravka dijele jednu poruku, zato reset ponekad pomaže, a ponekad ne mijenja ništa. Počnite s dijelom koji možete sami pregledati: točnim nizom koji je klijent poslao i spremištem vjerodajnica iz kojeg ga je uzeo. Zatim pitajte server koju je odluku zabilježio, jer dijalog je odbijanje, a ne dijagnoza.

Tri načina da budete odbijeni, jedan dijalog

Pogrešna tajna samo je prvi način da dođete do ovog dijaloga. Naziv računa može se razriješiti u identitet koji niste namjeravali, račun možda nema dopuštenje za biranje veze ili serverski uvjet može odbiti vezu nakon što je lozinka prihvaćena. Svaki od tih slučajeva daje isti tekst u klijentu i svaki ima svoj popravak.

Zato reset izgleda kao da radi u ponedjeljak, a u utorak ne čini ništa. Čitajte dijalog kao odbijanje, a ne kao dijagnozu, i zabilježite naziv profila i lokalno vrijeme kvara prije nego što dirate račun.

Tri kategorije padaju i na različitim slojevima. Pogrešna tajna ruši dokaz identiteta, pogrešan oblik računa ruši pretragu, a uvjet politike ruši autorizaciju nakon što je identitet dokazan. Samo se prva popravlja promjenom lozinke. Druge dvije traže nekoga s pristupom zapisu odluka na serveru, zato je sljedeći korak zahtjev za informacijama, a ne još jedan reset.

Što je klijent zapravo poslao

Potvrdite prihvaćeni oblik računa s onim ko upravlja pristupnikom, jer golo korisničko ime, ime s domenom i glavno korisničko ime mogu voditi u različite kontekste računa. Samo jedno od njih može biti identitet koji ima dopuštenje. Pitajte koji oblik pristupnik očekuje prije prvog pokušaja, a ne nakon petog, i provjerite koristi li klijent sačuvane vjerodajnice umjesto onih koje ste upisali.

Dva upita samo za čitanje na Windows računalu pokazuju profil i sve keširane vjerodajnice koje bi mogle pobijediti dijalog. Nijedan ne zove server:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Tretirajte lozinku kao podatak, a ne kao tekst kopiran iz dokumenta. Vrijednost koja je prošla kroz skriptu može nositi escape znakove koji nikada nisu bili dio tajne, a izvoz konfiguracije možda ju je stavio u navodnike. Uklanjanje svakog posebnog znaka da bi se uklopila drugačija je promjena od pronalaženja stvarne vrijednosti, zato prvo utvrdite stvarnu vrijednost.

Zatražite odluku politike, ne reset

U udaljenom pristupu koji koristi poslužitelj mrežnih politika dvije se odluke izvode uzastopno. Provjera identiteta utvrđuje koji račun pita, a autorizacija odlučuje smije li se taj račun uopće povezati. Uvjeti i ograničenja politike ocjenjuju se po vlastitim pravilima, pa ispravna tajna rješava samo prvu polovicu pitanja. Naziv politike u događaju na serveru pokazuje koja je odluka doista izvedena.

Pošaljite administratoru naziv profila, pokušani račun i vremensku oznaku. Zatražite odgovarajući zapis odluke i njegov razlog umjesto još jednog reseta lozinke, te zatražite naziv politike koji događaj nosi. Microsoftov pregled kôdova grešaka udaljenog pristupa navodi 691 među greškama vjerodajnica i provjere identiteta, i upravo zato dijalog ne može razlučiti tri slučaja.

Pretvaranje računa u bezuvjetno dopuštenje pretvara odluku o autorizaciji u trajnu iznimku. Ujedno uklanja uvjet koji je obavljao koristan posao, a sljedeća osoba koja pregleda politiku neće znati zašto se promijenila. Umjesto toga zatražite da vlasnik potvrdi namjeravanu politiku, kako bi prihvaćanje ostalo namjerno.

Pokušajte još jednom, zatim usporedite

Ponovite isti profil nakon jedine ispravke koju ste utvrdili. Ako je pristup prihvaćen, a neki interni resurs i dalje ne radi, kvar se preselio na drugi sloj i više ne govori ništa o lozinci. Upravo nepromijenjen profil čini tu usporedbu smislenom.

Oduprite se isključivanju obitelji adresa ili uključivanju opširnog praćenja prije nego što je odbijanje objašnjeno. Praćenje daje obujam, a ne odluku, a prvi koristan rezultat ostaje komponenta koja je odbila pokušaj i razlog koji je zabilježila. Kad se to zna, ponovni pokušaj ili potvrđuje popravak ili daje novi i uži simptom.