Windows VPN 오류 691: 어떤 검사가 실제로 실패했는가?

Windows는 일 분 전에 다른 곳에서 받아들인 암호를 거부하므로, 시도가 평가되지도 않았는데 계정이 고장 난 것처럼 보입니다. 오류 691은 인증 중에 연결이 거부되었다는 뜻이며, 암호가 틀렸든 계정 이름이 예상치 못한 ID로 확인되었든 서버 측 정책이 연결을 거부했든 클라이언트는 같은 문구를 표시합니다. 세 가지 다른 수리가 하나의 메시지를 공유하므로, 재설정이 때로는 도움이 되고 때로는 아무것도 바꾸지 않습니다. 혼자서 검사할 수 있는 부분, 즉 클라이언트가 보낸 정확한 문자열과 그것을 가져온 자격 증명 저장소부터 시작하십시오. 그다음 대화 상자는 진단이 아니라 거부이므로 서버에 어떤 결정을 기록했는지 물어보십시오.

거부되는 세 가지 경로, 하나의 대화 상자

잘못된 암호는 이 대화 상자에 이르는 첫 번째 경로일 뿐입니다. 계정 이름이 의도하지 않은 ID로 확인될 수 있고, 계정에 전화 접속 권한이 없을 수 있으며, 암호가 받아들여진 뒤 서버 측 조건이 연결을 거부할 수 있습니다. 각 경우는 같은 클라이언트 문구를 만들어 내고, 각각 고유한 수리가 있습니다.

그래서 재설정이 월요일에는 효과가 있는 것처럼 보이고 화요일에는 아무것도 하지 않습니다. 대화 상자를 진단이 아니라 거부로 읽으십시오, 그리고 계정을 건드리기 전에 프로필 이름과 실패의 현지 시간을 기록하십시오.

세 범주는 서로 다른 계층에서도 실패합니다. 잘못된 암호는 ID 증명에서 실패하고, 잘못된 계정 형식은 조회에서 실패하며, 정책 조건은 ID가 증명된 뒤 권한 부여에서 실패합니다. 첫 번째만 암호를 바꿔서 고칠 수 있습니다. 나머지 둘은 서버의 결정 기록에 접근할 수 있는 사람이 필요하므로, 다음 단계는 또 다른 재설정이 아니라 정보 요청입니다.

클라이언트가 실제로 보낸 것

게이트웨이를 운영하는 사람과 허용되는 계정 형식을 확인하십시오. 맨 사용자 이름, 도메인으로 정규화된 이름, 사용자 주체 이름은 서로 다른 계정 컨텍스트로 확인될 수 있으며, 그중 하나만 권한을 가진 ID일 수 있습니다. 다섯 번째 시도 뒤가 아니라 첫 번째 시도 전에 게이트웨이가 어떤 형식을 기대하는지 물어보고, 클라이언트가 입력한 자격 증명 대신 저장된 자격 증명을 재사용하는지 확인하십시오.

Windows 컴퓨터의 두 가지 읽기 전용 쿼리는 프로필과 대화 상자를 이길 수 있는 캐시된 자격 증명을 보여 주지만, 둘 다 서버에 전화 접속하지 않습니다.

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

암호를 문서에서 복사한 텍스트가 아니라 데이터로 취급하십시오. 스크립트를 거친 값에는 암호의 일부가 아니었던 이스케이프 문자가 들어 있을 수 있고, 구성 내보내기가 값을 따옴표로 묶었을 수도 있습니다. 맞추기 위해 모든 특수 문자를 제거하는 것은 실제 값을 찾는 것과 다른 변경이므로, 먼저 실제 값을 확정하십시오.

재설정이 아니라 정책 결정을 받으십시오

네트워크 정책 서버를 사용하는 원격 액세스 배포에서는 두 가지 결정이 차례로 실행됩니다. 인증은 어느 계정이 묻고 있는지 확립하고, 권한 부여는 그 계정이 애초에 연결할 수 있는지 결정합니다. 정책 조건과 제약은 자체 기준으로 평가되므로, 올바른 암호는 질문의 전반부만 해결합니다. 서버 이벤트의 정책 이름이 실제로 실행된 결정을 알려 줍니다.

관리자에게 프로필 이름, 시도한 계정, 타임스탬프를 보내십시오. 또 다른 암호 재설정 대신 해당 결정 기록과 그 이유를 요청하고, 이벤트가 지닌 정책 이름도 요청하십시오. Microsoft 원격 액세스 오류 코드 참조 는 691을 자격 증명 및 인증 실패 가운데 나열하며, 바로 그렇기 때문에 대화 상자가 세 경우를 구분할 수 없습니다.

계정을 무조건 허용으로 바꾸면 권한 부여 결정이 영구 예외가 됩니다. 또한 유용한 일을 하던 조건을 제거하며, 다음에 정책을 검토하는 사람은 왜 바뀌었는지 알 수 없습니다. 대신 소유자에게 의도한 정책을 확인하게 하여 승인이 의도적인 것으로 유지되게 하십시오.

한 번 더 시도하고 나서 비교하십시오

확인한 유일한 수정 뒤에 같은 프로필을 다시 시도하십시오. 액세스가 허용되고 내부 리소스가 여전히 실패하면, 실패는 다른 계층으로 옮겨 갔고 더 이상 암호에 대해 말하지 않습니다. 프로필을 바꾸지 않는 것이 바로 그 비교를 의미 있게 만듭니다.

거부가 설명되기 전에 주소 패밀리를 비활성화하거나 상세 추적을 켜고 싶은 유혹을 견디십시오. 추적은 결정이 아니라 양을 만들어 내며, 첫 번째 유용한 결과는 시도를 거부한 구성 요소와 그것이 기록한 이유로 남습니다. 그것이 알려지면 재시도는 수리를 확인하거나 새롭고 더 좁은 증상을 만들어 냅니다.