Windows VPN-hiba 691: melyik ellenőrzés bukott meg valójában?

A Windows elutasít egy jelszót, amelyet egy perccel korábban máshol elfogadott, így a fiók töröttnek látszik, pedig a kísérletet soha nem értékelték. A 691-es hiba azt jelenti, hogy a kapcsolatot a hitelesítés során utasították el, és a kliens ugyanazt a szöveget írja ki, akár rossz volt a titok, akár váratlan identitásra oldódott fel a fióknév, akár egy kiszolgálóoldali szabályzat utasította el a kapcsolatot. Három különböző javítás osztozik egyetlen üzeneten, ezért a visszaállítás néha segít, néha pedig semmit sem változtat. Kezdje azzal a résszel, amelyet egyedül is megvizsgálhat: a kliens által elküldött pontos karakterlánccal és azzal a hitelesítőadat-tárral, ahonnan vette. Utána kérdezze meg a kiszolgálót, milyen döntést rögzített, mert a párbeszédablak elutasítás, nem diagnózis.

Három mód az elutasításra, egy párbeszédablak

A rossz titok csak az első út ehhez a párbeszédablakhoz. A fióknév feloldódhat egy nem szándékolt identitásra, a fióknak lehet, hogy nincs betárcsázási engedélye, vagy egy kiszolgálói feltétel elutasíthatja a kapcsolatot a jelszó elfogadása után. Mindegyik eset ugyanazt a kliensszöveget eredményezi, és mindegyiknek megvan a maga javítása.

Ezért tűnik úgy, hogy a visszaállítás hétfőn működik, kedden pedig semmit sem tesz. Olvassa a párbeszédablakot elutasításként, ne diagnózisként, és a fiók megérintése előtt jegyezze fel a profil nevét és a hiba helyi idejét.

A három kategória különböző rétegekben is elbukik. A rossz titok az identitás bizonyításán bukik el, a rossz fiókforma a keresésen, a szabályzatfeltétel pedig az engedélyezésen, miután az identitás bizonyítást nyert. Csak az elsőt javítja a jelszó megváltoztatása. A másik kettőhöz olyasvalaki kell, akinek hozzáférése van a kiszolgáló döntési naplójához, ezért a következő lépés információkérés, nem újabb visszaállítás.

Mit küldött valójában a kliens

Erősítse meg az elfogadott fiókformátumot az átjárót üzemeltetővel, mert a csupasz felhasználónév, a tartományi név és a felhasználói főnév különböző fiókkörnyezetekre oldódhat fel. Csak az egyikük lehet az az identitás, amely az engedéllyel rendelkezik. Kérdezze meg, milyen formát vár az átjáró, az első kísérlet előtt, nem az ötödik után, és ellenőrizze, hogy a kliens tárolt hitelesítő adatot használ-e a beírt helyett.

Két csak olvasható lekérdezés a Windows-gépen megmutatja a profilt és minden gyorsítótárazott hitelesítő adatot, amely felülírhatja a párbeszédablakot. Egyik sem tárcsázza a kiszolgálót:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Kezelje a jelszót adatként, nem dokumentumból másolt szövegként. Egy szkripten átment érték olyan escape-karaktereket hordozhat, amelyek soha nem voltak a titok részei, és egy konfigurációexport idézőjelek közé tehette. Minden speciális karakter eltávolítása, hogy illeszkedjen, más változtatás, mint a valódi érték megtalálása, ezért először állapítsa meg a valódi értéket.

Szerezze meg a szabályzat döntését, ne visszaállítást

Egy hálózati szabályzati kiszolgálót használó távoli hozzáférési telepítésben két döntés fut egymás után. A hitelesítés megállapítja, melyik fiók kérdez, az engedélyezés pedig eldönti, hogy az a fiók egyáltalán csatlakozhat-e. A szabályzat feltételeit és korlátait saját mércéjük szerint értékelik, ezért egy helyes titok csak a kérdés első felét rendezi. A kiszolgálói eseményben szereplő szabályzatnév jelzi, melyik döntés futott valójában.

Küldje el az adminisztrátornak a profil nevét, a megkísérelt fiókot és az időbélyeget. Kérje a megfelelő döntési naplót és annak indokát egy újabb jelszó-visszaállítás helyett, és kérje a szabályzat nevét, amelyet az esemény hordoz. A Microsoft távoli hozzáférési hibakód-referenciája a 691-et a hitelesítő adatokkal és hitelesítéssel kapcsolatos hibák között sorolja fel, és éppen ezért nem tudja a párbeszédablak szétválasztani a három esetet.

Egy fiók feltétel nélküli engedéllyé alakítása állandó kivétellé teszi az engedélyezési döntést. Eltávolítja azt a feltételt is, amely hasznos munkát végzett, és a szabályzatot következőként áttekintő nem fogja tudni, miért változott meg. Kérje inkább a tulajdonostól a szándékolt szabályzat megerősítését, hogy az elfogadás szándékos maradjon.

Próbálja meg még egyszer, aztán hasonlítson

Ismételje meg ugyanazt a profilt az egyetlen azonosított javítás után. Ha a hozzáférés elfogadásra kerül, és egy belső erőforrás továbbra is meghibásodik, a hiba másik rétegre költözött, és már semmit sem mond a jelszóról. Éppen a változatlan profil teszi értelmessé ezt az összehasonlítást.

Ellenálljon a kísértésnek, hogy a visszaállítás megmagyarázása előtt letiltsa egy címtartomány használatát vagy részletes nyomkövetést kapcsoljon be. A nyomkövetés mennyiséget termel, nem döntést, és az első hasznos eredmény továbbra is az a komponens, amely elutasította a kísérletet, és az az indok, amelyet rögzített. Ha ez ismert, az ismételt kísérlet vagy megerősíti a javítást, vagy új és szűkebb tünetet hoz.