Instalasi RRAS gagal karena layanan RemoteAccess macet

Instalasi peran berhenti dengan kesalahan umum dan log peristiwa hampir tidak menawarkan apa pun untuk dikerjakan. Pada server tempat hal ini terjadi, bagian yang hilang sama sekali bukan di wizard: layanan Remote Access tidak pernah meninggalkan status Starting. Peran yang tidak dapat menyelesaikan inisialisasinya sendiri gagal lagi pada setiap percobaan, jadi layanan lebih dulu dan wizard kemudian. Memperbaiki hak masuk hanya butuh beberapa menit, sedangkan memasang ulang peran berulang kali tidak.

Mulailah dari layanan, bukan dari wizard peran

Buka prompt yang ditingkatkan dan baca konfigurasi layanan sebelum menyentuh peran. Dua nilai penting: jenis start dan akun tempat layanan berjalan. Instalasi bawaan mendaftarkan layanan untuk start otomatis dan tertunda di bawah Network Service.

Jika status tetap di Starting alih-alih Running, layanan sedang menunggu sesuatu yang tidak bisa didapatkannya, dan hak masuk adalah kandidat yang biasa. Menunggu lebih lama tidak membantu, karena start sudah gagal dengan cara yang dilaporkan Service Control Manager sebagai tertunda. Hentikan layanan dengan bersih dan baca konfigurasinya lagi. Lalu lihat percobaan start layanan di log peristiwa, karena di sanalah nama akun muncul di samping kegagalan.

Wizard peran hanya melaporkan bahwa inisialisasi gagal, dan justru karena itu diagnosa layanan harus lebih dulu.

Baca hak masuk sebelum memasang ulang

Network Service membutuhkan hak masuk sebagai layanan untuk bisa start. Akun bawaan biasanya menerimanya melalui keanggotaan grup, dan baseline yang diperketat atau penyegaran kebijakan bisa mencabutnya. Kebijakan Grup menang pada penyegaran berikutnya, jadi pemberian manual bisa hilang lagi tanpa peringatan.

Ekspor kebijakan keamanan lokal dan baca entrinya alih-alih memercayai GUI. Itu menyisakan berkas untuk Anda bandingkan setelah penyegaran, dan hanya dengan begitu Anda tahu apakah perubahannya bertahan. Jika entrinya kosong atau menghilangkan akunnya, Anda sudah menemukan kerusakannya. Catat objek kebijakan mana yang menetapkannya, karena objek itulah yang membutuhkan perbaikan permanen.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

Pemberian yang diterapkan secara lokal dan ditimpa kebijakan pada penyegaran berikutnya tampak seperti perbaikan yang berhenti berfungsi, dan itu akan gagal lagi dengan cara yang sama.

Perjalanan pulang-pergi akun yang menulis ulang konfigurasi

Sebuah jalan pintas memperbaiki konfigurasi masuk layanan tanpa menyunting kebijakan secara manual: ubah akunnya, terapkan, lalu ubah kembali dengan kolom kata sandi dibiarkan kosong.

Perjalanan itu menulis ulang catatan layanan dan memberikan kembali hak yang dibutuhkan akun. Ini jalan pintas, bukan perbaikan akar masalah, jadi tempatnya di catatan perubahan dengan tanggal di sampingnya. Di tempat baseline mengelola server, perbaikan yang benar adalah menambahkan akun ke penetapan masuk sebagai layanan di baseline itu. Lakukan itu lebih dulu bila bisa, dan gunakan perjalanan pulang-pergi hanya untuk membuka instalasi yang terlanjur macet.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Baca status setelah setiap perintah, karena layanan yang start di bawah satu akun dan tidak di bawah akun lain memberi tahu Anda hak mana yang hilang.

Pasang peran dan buktikan bahwa itu terpasang

Saat layanan berjalan, tambahkan peran itu lagi dan sertakan subfitur VPN yang benar-benar ingin Anda gunakan. Peran umum saja tidak memberi Anda endpoint VPN yang berfungsi.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Pastikan subfitur melaporkan Installed alih-alih Available, lalu buka konsol dan selesaikan konfigurasi awal sebelum orang lain menyentuh mesin itu. Jika konsol masih menyatakan layanan tidak berjalan, kembalilah ke pemeriksaan layanan alih-alih menghapus peran.

Tuliskan apa yang Anda ubah

Pilihan pertama wizard menetapkan aturan firewall, pembagian alamat, dan apakah server mengharapkan relai DHCP. Segelintir klien titik-ke-situs tidak membutuhkan bentuk endpoint situs-ke-situs. Putuskan peran, kumpulan alamat, metode autentikasi, dan sumber sertifikat sebelum mengeklik. Menebak di sini menghasilkan server yang terpasang bersih dan tidak pernah menerima koneksi.

Simpan penyimpangan pada akun layanan di catatan yang sama. Putaran pengerasan yang mengembalikan akun bawaan dapat memulihkan kerusakan pada restart berikutnya, berbulan-bulan setelah orang yang mendiagnosisnya sudah melanjutkan pekerjaan lain.