Windows VPN kļūda 691: kura pārbaude patiešām neizdevās?

Windows noraida paroli, ko pirms minūtes bija pieņēmis citur, tāpēc konts izskatās salauzts, lai gan mēģinājums nekad netika novērtēts. Kļūda 691 nozīmē, ka savienojums tika noraidīts autentifikācijas laikā, un klients rāda to pašu tekstu neatkarīgi no tā, vai noslēpums bija nepareizs, vai konta nosaukums izšķīrās negaidītā identitātē, vai servera politika noraidīja savienojumu. Trīs dažādi labojumi dala vienu ziņojumu, tāpēc atiestatīšana dažkārt palīdz, bet dažkārt nemaina pilnīgi neko. Sāciet ar daļu, ko varat pārbaudīt pats: precīzo virkni, ko klients nosūtīja, un akreditācijas datu krātuvi, no kuras to paņēma. Pēc tam pajautājiet serverim, kādu lēmumu tas reģistrēja, jo dialogs ir atteikums, nevis diagnoze.

Trīs veidi, kā tikt noraidītam, viens dialogs

Nepareizs noslēpums ir tikai pirmais ceļš uz šo dialogu. Konta nosaukums var izšķirties identitātē, ko neplānojāt, kontam var nebūt zvanīšanas atļaujas, vai servera nosacījums var noraidīt savienojumu pēc paroles pieņemšanas. Katrs no šiem gadījumiem rada vienu un to pašu klienta tekstu, un katram ir savs labojums.

Tāpēc atiestatīšana pirmdien šķiet strādājam, bet otrdien neko nedara. Lasiet dialogu kā atteikumu, nevis diagnozi, un pirms konta aizskaršanas pierakstiet profila nosaukumu un kļūmes vietējo laiku.

Šīs trīs kategorijas neizdodas arī dažādos slāņos. Nepareizs noslēpums neizdodas identitātes pierādīšanā, nepareiza konta forma neizdodas meklēšanā, un politikas nosacījums neizdodas autorizācijā pēc identitātes pierādīšanas. Tikai pirmo labo, mainot paroli. Pārējās divas prasa cilvēku ar piekļuvi servera lēmumu reģistram, tāpēc nākamais solis ir informācijas pieprasījums, nevis vēl viena atiestatīšana.

Ko klients patiešām nosūtīja

Apstipriniet pieņemto konta formātu ar to, kurš pārvalda vārteju, jo kails lietotājvārds, domēnā kvalificēts nosaukums un lietotāja galvenais nosaukums var izšķirties dažādos konta kontekstos. Tikai viens no tiem var būt identitāte, kurai ir atļauja. Pajautājiet, kādu formu vārteja gaida pirms pirmā mēģinājuma, nevis pēc piektā, un pārbaudiet, vai klients izmanto saglabātos akreditācijas datus, nevis tos, ko ievadījāt.

Divi tikai lasīšanas vaicājumi Windows mašīnā parāda profilu un visus kešatmiņā saglabātos akreditācijas datus, kas varētu uzvarēt dialogu. Neviens no tiem nezvana serverim:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Uztveriet paroli kā datus, nevis kā no dokumenta kopētu tekstu. Vērtība, kas gājusi caur skriptu, var saturēt aizbēgšanas rakstzīmes, kas nekad nav bijušas noslēpuma daļa, un konfigurācijas eksports to var būt ievietojis pēdiņās. Visu speciālo rakstzīmju noņemšana, lai tā iederētos, ir citas izmaiņas nekā īstās vērtības atrašana, tāpēc vispirms nosakiet īsto vērtību.

Iegūstiet politikas lēmumu, nevis atiestatīšanu

Attālinātās piekļuves izvietojumā, kas izmanto tīkla politikas serveri, divi lēmumi tiek izpildīti pēc kārtas. Autentifikācija nosaka, kurš konts jautā, un autorizācija izlemj, vai šis konts vispār drīkst savienoties. Politikas nosacījumi un ierobežojumi tiek vērtēti pēc saviem kritērijiem, tāpēc pareizs noslēpums atrisina tikai jautājuma pirmo pusi. Politikas nosaukums servera notikumā norāda, kurš lēmums patiešām tika izpildīts.

Nosūtiet administratoram profila nosaukumu, mēģināto kontu un laika zīmi. Lūdziet atbilstošo lēmuma reģistru un tā iemeslu, nevis vēl vienu paroles atiestatīšanu, un lūdziet politikas nosaukumu, ko notikums nes. Microsoft attālinātās piekļuves kļūdu kodu uzziņa uzskaita 691 starp akreditācijas datu un autentifikācijas kļūdām, un tieši tāpēc dialogs nevar atdalīt trīs gadījumus.

Konta pārvēršana beznosacījumu atļaujā pārvērš autorizācijas lēmumu pastāvīgā izņēmumā. Tas arī noņem nosacījumu, kas veica lietderīgu darbu, un nākamais politikas pārskatītājs nezinās, kāpēc tā mainījās. Tā vietā lūdziet īpašniekam apstiprināt paredzēto politiku, lai pieņemšana paliktu apzināta.

Pamēģiniet vēlreiz, pēc tam salīdziniet

Atkārtojiet to pašu profilu pēc vienīgā identificētā labojuma. Ja piekļuve tiek pieņemta un iekšējais resurss joprojām neizdodas, kļūme ir pārcēlusies uz citu slāni un vairs neko nepasaka par paroli. Tieši nemainītais profils padara šo salīdzinājumu jēgpilnu.

Pretojieties kārdinājumam atspējot adrešu saimi vai iespējot detalizētu izsekošanu, pirms atteikums ir izskaidrots. Izsekošana rada apjomu, nevis lēmumu, un pirmais lietderīgais rezultāts paliek komponents, kas noraidīja mēģinājumu, un iemesls, ko tas reģistrēja. Kad tas ir zināms, atkārtotais mēģinājums vai nu apstiprina labojumu, vai rada jaunu un šaurāku simptomu.