Pemasangan RRAS gagal kerana perkhidmatan RemoteAccess tersekat

Pemasangan peranan berhenti dengan ralat umum dan log peristiwa hampir tidak menawarkan apa-apa untuk diusahakan. Pada pelayan yang mengalami perkara ini, bahagian yang hilang bukan di dalam wizard langsung: perkhidmatan Remote Access tidak pernah meninggalkan keadaan Starting. Peranan yang tidak dapat menyelesaikan pemulaannya sendiri gagal lagi pada setiap percubaan, jadi perkhidmatan dahulu dan wizard kemudian. Membaiki hak log masuk mengambil masa beberapa minit, memasang semula peranan berulang kali tidak.

Mulakan dengan perkhidmatan, bukan wizard peranan

Buka prompt yang dinaikkan dan baca konfigurasi perkhidmatan sebelum menyentuh peranan. Dua nilai penting: jenis permulaan dan akaun tempat perkhidmatan berjalan. Pemasangan lalai mendaftarkan perkhidmatan untuk permulaan automatik dan tertunda di bawah Network Service.

Jika status kekal pada Starting dan bukan Running, perkhidmatan sedang menunggu sesuatu yang tidak dapat diperolehinya, dan hak log masuk ialah calon biasa. Menunggu lebih lama tidak membantu, kerana permulaan sudah gagal dengan cara yang dilaporkan oleh Service Control Manager sebagai belum selesai. Hentikan perkhidmatan dengan bersih dan baca konfigurasinya sekali lagi. Kemudian lihat percubaan permulaan perkhidmatan dalam log peristiwa, kerana di situlah nama akaun muncul bersama kegagalan itu.

Wizard peranan hanya melaporkan bahawa pemulaan gagal, dan itulah sebabnya diagnosis perkhidmatan perlu didahulukan.

Baca hak log masuk sebelum memasang semula

Network Service memerlukan hak log masuk sebagai perkhidmatan untuk bermula. Akaun terbina dalam biasanya menerimanya melalui keahlian kumpulan, dan garis dasar yang diperkukuh atau penyegaran dasar boleh mengambilnya. Dasar Kumpulan menang pada penyegaran seterusnya, jadi pemberian manual boleh hilang lagi tanpa amaran.

Eksport dasar keselamatan tempatan dan baca entri itu dan bukannya mempercayai GUI. Itu meninggalkan fail untuk anda bandingkan selepas penyegaran, dan hanya dengan cara itu anda tahu sama ada perubahan itu bertahan. Jika entri kosong atau tertinggal akaun, anda telah menemui kerosakan itu. Catat objek dasar mana yang menetapkannya, kerana objek itulah yang memerlukan pembaikan kekal.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

Pemberian yang digunakan secara tempatan dan ditimpa oleh dasar pada penyegaran seterusnya kelihatan seperti pembaikan yang berhenti berfungsi, dan ia akan gagal lagi dengan cara yang sama.

Perjalanan pergi balik akaun yang menulis semula konfigurasi

Jalan pintas membaiki konfigurasi log masuk perkhidmatan tanpa menyunting dasar secara manual: tukar akaun, gunakan, kemudian tukar semula dengan ruang kata laluan dibiarkan kosong.

Perjalanan itu menulis semula rekod perkhidmatan dan memberi semula hak yang diperlukan oleh akaun. Ia jalan pintas dan bukan pembaikan punca akar, jadi tempatnya dalam rekod perubahan dengan tarikh di sebelahnya. Di tempat garis dasar menguruskan pelayan, pembaikan yang betul ialah menambah akaun itu kepada penugasan log masuk sebagai perkhidmatan dalam garis dasar tersebut. Lakukan itu dahulu apabila boleh, dan gunakan perjalanan itu hanya untuk membuka pemasangan yang tersekat.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Baca status selepas setiap arahan, kerana perkhidmatan yang bermula di bawah satu akaun dan tidak di bawah yang lain memberitahu anda hak mana yang tiada.

Pasang peranan itu dan buktikan ia dipasang

Dengan perkhidmatan berjalan, tambah peranan itu sekali lagi dan sertakan subciri VPN yang benar-benar ingin anda gunakan. Peranan umum sahaja tidak memberi anda titik akhir VPN yang berfungsi.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Pastikan subciri melaporkan Installed dan bukan Available, kemudian buka konsol dan lengkapkan konfigurasi awal sebelum orang lain menyentuh mesin itu. Jika konsol masih mendakwa perkhidmatan tidak berjalan, kembali ke pemeriksaan perkhidmatan dan jangan buang peranan itu.

Catat apa yang anda ubah

Pilihan pertama wizard menetapkan peraturan tembok api, pembahagian alamat dan sama ada pelayan mengharapkan geganti DHCP. Sedikit klien titik ke tapak tidak memerlukan bentuk titik akhir tapak ke tapak. Putuskan peranan, kumpulan alamat, kaedah pengesahan dan sumber sijil sebelum mengklik. Meneka di sini menghasilkan pelayan yang dipasang dengan bersih dan tidak pernah menerima sambungan.

Simpan penyimpangan pada akaun perkhidmatan dalam nota yang sama. Pusingan pengukuhan yang mengembalikan akaun lalai boleh memulihkan kerosakan pada permulaan semula berikutnya, berbulan-bulan selepas orang yang mendiagnosisnya telah beralih.