Errore 691 VPN di Windows: quale controllo è fallito davvero?

Windows rifiuta una password che aveva accettato altrove un minuto prima, così l’account sembra rotto mentre il tentativo non è mai stato valutato. L’errore 691 significa che la connessione è stata rifiutata durante l’autenticazione, e il client mostra lo stesso testo sia che il segreto fosse errato, sia che il nome account si sia risolto in un’identità inattesa, sia che un criterio lato server abbia negato la connessione. Tre riparazioni diverse condividono un solo messaggio, per questo una reimpostazione a volte aiuta e a volte non cambia assolutamente nulla. Iniziate dalla parte che potete ispezionare da soli: la stringa esatta inviata dal client e l’archivio delle credenziali da cui l’ha presa. Poi chiedete al server quale decisione ha registrato, perché la finestra è un rifiuto e non una diagnosi.

Tre modi per essere rifiutati, un’unica finestra

Un segreto errato è solo il primo modo per arrivare a questa finestra. Il nome account può risolversi in un’identità che non intendevate, l’account può non avere l’autorizzazione alla connessione remota, oppure una condizione lato server può negare la connessione dopo che la password è stata accettata. Ognuno di questi casi produce lo stesso testo nel client, e ognuno ha la propria riparazione.

Ecco perché una reimpostazione sembra funzionare il lunedì e non fa nulla il martedì. Leggete la finestra come un rifiuto e non come una diagnosi, e annotate il nome del profilo e l’ora locale dell’errore prima di toccare l’account.

Le tre categorie falliscono anche a livelli diversi. Un segreto errato fa fallire la prova d’identità, una forma di account errata fa fallire la ricerca, e una condizione di criterio fa fallire l’autorizzazione una volta dimostrata l’identità. Solo la prima si ripara cambiando la password. Le altre due richiedono qualcuno con accesso al registro delle decisioni del server, per questo il passo successivo è una richiesta di informazioni e non un’altra reimpostazione.

Che cosa ha inviato davvero il client

Confermate il formato di account accettato con chi gestisce il gateway, perché un nome utente nudo, un nome qualificato dal dominio e un nome principale utente possono risolversi in contesti account diversi. Solo uno di essi può essere l’identità che detiene l’autorizzazione. Chiedete quale forma si aspetta il gateway prima del primo tentativo e non dopo il quinto, e verificate se il client riutilizza una credenziale memorizzata invece di quella digitata.

Due query di sola lettura sulla macchina Windows mostrano il profilo e qualsiasi credenziale in cache che potrebbe avere la meglio sulla finestra. Nessuna delle due contatta il server:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Trattate la password come un dato e non come testo copiato da un documento. Un valore passato attraverso uno script può portare caratteri di escape che non hanno mai fatto parte del segreto, e un’esportazione di configurazione potrebbe averlo racchiuso tra virgolette. Rimuovere ogni carattere speciale per farlo combaciare è una modifica diversa dal trovare il valore reale, quindi stabilite prima il valore reale.

Ottenete la decisione del criterio, non una reimpostazione

In una distribuzione di accesso remoto che usa un server dei criteri di rete, due decisioni vengono eseguite in sequenza. L’autenticazione stabilisce quale account sta chiedendo, e l’autorizzazione decide se quell’account può connettersi. Le condizioni e i vincoli del criterio vengono valutati secondo i propri termini, quindi un segreto corretto risolve solo la prima metà della questione. Il nome del criterio nell’evento del server indica quale decisione è stata realmente eseguita.

Inviate all’amministratore il nome del profilo, l’account tentato e la marca temporale. Chiedete il registro della decisione corrispondente e il suo motivo invece di un’altra reimpostazione della password, e chiedete il nome del criterio che l’evento porta con sé. La documentazione dei codici di errore dell’accesso remoto di Microsoft elenca il 691 tra gli errori di credenziali e autenticazione, ed è proprio per questo che la finestra non può separare i tre casi.

Convertire un account in un permesso incondizionato trasforma una decisione di autorizzazione in un’eccezione permanente. Rimuove anche la condizione che svolgeva un lavoro utile, e la prossima persona che esaminerà il criterio non saprà perché è cambiato. Chiedete invece al proprietario di confermare il criterio previsto, così che l’accettazione resti deliberata.

Riprovate una volta, poi confrontate

Ripetete lo stesso profilo dopo l’unica correzione che avete individuato. Se l’accesso viene accettato e una risorsa interna continua a non funzionare, l’errore si è spostato a un altro livello e non dice più nulla sulla password. È il profilo invariato a rendere significativo quel confronto.

Resistete alla tentazione di disattivare una famiglia di indirizzi o di attivare la traccia dettagliata prima che il rifiuto sia stato spiegato. La traccia produce volume e non una decisione, e il primo risultato utile resta il componente che ha rifiutato il tentativo e il motivo che ha registrato. Una volta noto, il nuovo tentativo conferma la riparazione o produce un sintomo nuovo e più ristretto.