„Windows“ VPN klaida 691: kuri patikra iš tikrųjų nepavyko?

„Windows“ atmeta slaptažodį, kurį prieš minutę priėmė kitur, todėl paskyra atrodo sugedusi, nors bandymas niekada nebuvo įvertintas. Klaida 691 reiškia, kad ryšys buvo atmestas autentifikacijos metu, o klientas rodo tą patį tekstą, nesvarbu, ar slaptažodis buvo neteisingas, ar paskyros pavadinimas išsisprendė į netikėtą tapatybę, ar serverio politika atmetė ryšį. Trys skirtingi taisymai dalijasi vienu pranešimu, todėl nustatymas iš naujo kartais padeda, o kartais visiškai nieko nekeičia. Pradėkite nuo dalies, kurią galite patikrinti patys: tiksli eilutė, kurią klientas pateikė, ir prisijungimo duomenų saugykla, iš kurios ją paėmė. Tada paklauskite serverio, kokį sprendimą jis užfiksavo, nes dialogas yra atmetimas, o ne diagnozė.

Trys būdai būti atmestam, vienas dialogas

Neteisingas slaptažodis yra tik pirmasis kelias į šį dialogą. Paskyros pavadinimas gali išsispręsti į tapatybę, kurios neketinote, paskyra gali neturėti rinkimo leidimo, arba serverio sąlyga gali atmesti ryšį priėmus slaptažodį. Kiekvienas iš šių atvejų sukuria tą patį kliento tekstą, ir kiekvienas turi savo taisymą.

Štai kodėl nustatymas iš naujo pirmadienį atrodo veikiantis, o antradienį nieko nedaro. Skaitykite dialogą kaip atmetimą, o ne kaip diagnozę, ir prieš liedami paskyrą užsirašykite profilio pavadinimą ir vietinį gedimo laiką.

Šios trys kategorijos nepavyksta ir skirtinguose sluoksniuose. Neteisingas slaptažodis nepavyksta įrodant tapatybę, neteisinga paskyros forma nepavyksta ieškant, o politikos sąlyga nepavyksta autorizuojant po to, kai tapatybė įrodyta. Tik pirmoji taisoma keičiant slaptažodį. Kitos dvi reikalauja žmogaus, turinčio prieigą prie serverio sprendimų įrašo, todėl kitas žingsnis yra informacijos prašymas, o ne dar vienas nustatymas iš naujo.

Ką klientas iš tikrųjų išsiuntė

Patvirtinkite priimtiną paskyros formatą su tais, kurie valdo šliuzą, nes plikas vartotojo vardas, domenu kvalifikuotas vardas ir pagrindinis vartotojo vardas gali išsispręsti į skirtingus paskyros kontekstus. Tik vienas iš jų gali būti tapatybė, turinti leidimą. Paklauskite, kokios formos šliuzas tikisi prieš pirmą bandymą, o ne po penkto, ir patikrinkite, ar klientas naudoja išsaugotus prisijungimo duomenis, o ne tuos, kuriuos įvedėte.

Dvi tik skaitymo užklausos „Windows“ kompiuteryje parodo profilį ir visus talpykloje esančius prisijungimo duomenis, kurie galėtų nugalėti dialogą. Nė viena jų neskambina serveriui:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Traktuokite slaptažodį kaip duomenis, o ne kaip tekstą, nukopijuotą iš dokumento. Reikšmė, kuri praėjo per scenarijų, gali turėti pabėgimo simbolių, kurie niekada nebuvo slaptažodžio dalis, o konfigūracijos eksportas galėjo ją įdėti į kabutes. Pašalinti visus specialiuosius simbolius, kad ji tilptų, yra kitoks pakeitimas nei rasti tikrąją reikšmę, todėl pirmiausia nustatykite tikrąją reikšmę.

Gaukite politikos sprendimą, o ne nustatymą iš naujo

Nuotolinės prieigos diegime, kuriame naudojamas tinklo politikos serveris, du sprendimai vykdomi iš eilės. Autentifikacija nustato, kuri paskyra klausia, o autorizacija nusprendžia, ar ta paskyra apskritai gali prisijungti. Politikos sąlygos ir apribojimai vertinami pagal jų pačių kriterijus, todėl teisingas slaptažodis išsprendžia tik pirmąją klausimo pusę. Politikos pavadinimas serverio įvykyje nurodo, kuris sprendimas iš tikrųjų buvo vykdomas.

Nusiųskite administratoriui profilio pavadinimą, bandytą paskyrą ir laiko žymą. Paprašykite atitinkamo sprendimo įrašo ir jo priežasties, o ne dar vieno slaptažodžio nustatymo iš naujo, ir paprašykite politikos pavadinimo, kurį neša įvykis. „Microsoft“ nuotolinės prieigos klaidų kodų nuoroda išvardija 691 tarp prisijungimo duomenų ir autentifikacijos gedimų, ir būtent todėl dialogas negali atskirti trijų atvejų.

Paskyros pavertimas besąlyginiu leidimu paverčia autorizacijos sprendimą nuolatine išimtimi. Tai taip pat pašalina sąlygą, kuri atliko naudingą darbą, o kitas politiką peržiūrėsiantis žmogus nesužinos, kodėl ji pasikeitė. Vietoj to paprašykite savininko patvirtinti numatytą politiką, kad priėmimas liktų sąmoningas.

Pabandykite dar kartą, tada palyginkite

Pakartokite tą patį profilį po vienintelio nustatyto pataisymo. Jei prieiga priimama ir vidinis išteklius vis tiek nepavyksta, gedimas persikėlė į kitą sluoksnį ir nebekalba nieko apie slaptažodį. Būtent nepakeistas profilis daro šį palyginimą prasmingą.

Atsispirkite pagundai išjungti adresų šeimą arba įjungti išsamų sekimą, kol atmetimas nepaaiškintas. Sekimas sukuria apimtį, o ne sprendimą, ir pirmasis naudingas rezultatas išlieka komponentas, atmetęs bandymą, ir priežastis, kurią jis užfiksavo. Kai tai žinoma, pakartotinis bandymas arba patvirtina taisymą, arba sukuria naują ir siauresnį simptomą.