Windows VPN грешка 691: која проверка навистина не успеа?

Windows одбива лозинка што ја прифатил на друго место пред една минута, така што сметката изгледа расипана иако обидот никогаш не бил оценет. Грешка 691 значи дека врската била одбиена за време на автентикацијата, а клиентот го прикажува истиот текст без разлика дали тајната била погрешна, дали името на сметката се решило во неочекуван идентитет или серверската политика ја одбила врската. Три различни поправки делат една порака, затоа ресетирањето понекогаш помага, а понекогаш не менува ништо. Започнете со делот што можете сами да го проверите: точната низа што клиентот ја испратил и складиштето на акредитиви од кое ја зел. Потоа прашајте го серверот каква одлука запишал, бидејќи дијалогот е одбивање, а не дијагноза.

Три начини да бидете одбиени, еден дијалог

Погрешната тајна е само првиот начин да стигнете до овој дијалог. Името на сметката може да се реши во идентитет што не сте го намеравале, сметката може да нема дозвола за бирање или серверски услов може да ја одбие врската откако лозинката е прифатена. Секој од тие случаи го создава истиот текст кај клиентот, и секој има своја поправка.

Затоа ресетирањето изгледа дека работи во понеделник, а во вторник не прави ништо. Читајте го дијалогот како одбивање, а не како дијагноза, и пред да ја допрете сметката запишете го името на профилот и локалното време на неуспехот.

Овие три категории не успеваат и на различни слоеви. Погрешната тајна не успева во докажувањето на идентитетот, погрешната форма на сметка не успева во пребарувањето, а условот на политиката не успева во авторизацијата откако идентитетот е докажан. Само првата се поправа со менување на лозинката. Другите две бараат некој со пристап до записот со одлуки на серверот, затоа следниот чекор е барање информации, а не уште едно ресетирање.

Што всушност испратил клиентот

Потврдете го прифатениот формат на сметка со тој што го управува порталот, бидејќи голото корисничко име, името квалификувано со домен и главното корисничко име можат да се решат во различни контексти на сметка. Само едно од нив може да биде идентитетот што ја има дозволата. Прашајте кој формат го очекува порталот пред првиот обид, а не по петтиот, и проверете дали клиентот ги користи зачуваните акредитиви наместо тие што ги внесовте.

Две прашања само за читање на машината со Windows го прикажуваат профилот и сите кеширани акредитиви што би можеле да го победат дијалогот. Ниту едно не го бира серверот:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Третирајте ја лозинката како податоци, а не како текст копиран од документ. Вредност што поминала низ скрипта може да носи знаци за бегство што никогаш не биле дел од тајната, а извозот на конфигурација можеби ја ставил во наводници. Отстранувањето на секој специјален знак за да се вклопи е друга промена од наоѓањето на вистинската вредност, затоа прво утврдете ја вистинската вредност.

Земете ја одлуката на политиката, а не ресетирање

Во распоредување за далечински пристап што користи сервер за мрежни политики, две одлуки се извршуваат последователно. Автентикацијата утврдува која сметка прашува, а авторизацијата одлучува дали таа сметка воопшто смее да се поврзе. Условите и ограничувањата на политиката се оценуваат според нивни сопствени мерила, така што точната тајна решава само првата половина од прашањето. Името на политиката во настанот на серверот покажува која одлука навистина се извршила.

Испратете му на администраторот името на профилот, обидуваната сметка и временската ознака. Побарајте го соодветниот запис со одлука и неговата причина наместо уште едно ресетирање на лозинката, и побарајте го името на политиката што го носи настанот. референцата за кодови на грешки при далечински пристап на Microsoft го наведува 691 меѓу грешките со акредитиви и автентикација, и токму затоа дијалогот не може да ги одвои трите случаи.

Претворањето на сметка во безусловна дозвола ја претвора одлуката за авторизација во трајно исклучок. Тоа исто така го отстранува условот што вршел корисна работа, а следниот што ќе ја прегледа политиката нема да знае зошто се променила. Наместо тоа, побарајте од сопственикот да ја потврди наменетата политика, за да остане прифаќањето намерно.

Обидете се уште еднаш, потоа споредете

Повторете го истиот профил по единствената корекција што ја утврдивте. Ако пристапот е прифатен и внатрешен ресурс сѐ уште не успева, неуспехот се преселил на друг слој и веќе не кажува ништо за лозинката. Токму непроменетиот профил ја прави таа споредба значајна.

Спротивставете се на искушението да оневозможите фамилија адреси или да вклучите детално следење пред одбивањето да биде објаснето. Следењето создава обем, а не одлука, и првиот корисен резултат останува компонентата што го одбила обидот и причината што ја запишала. Кога тоа ќе се знае, повторениот обид или ја потврдува поправката или создава нов и потесен симптом.