RRAS-installasjonen mislykkes fordi RemoteAccess-tjenesten stopper

Installasjonen av rollen stopper med en generisk feil, og hendelsesloggen gir nesten ingenting å jobbe med. På serverne der dette skjer, er den manglende brikken slett ikke i veiviseren: Remote Access-tjenesten forlater aldri tilstanden Starting. En rolle som ikke kan fullføre sin egen initialisering, feiler igjen ved hvert nye forsøk, så tjenesten kommer først og veiviseren etterpå. Det tar minutter å reparere påloggingsretten, og det gjør gjentatt nyinstallasjon av rollen ikke.

Start ved tjenesten, ikke ved rolleveiviseren

Åpne en forhøyet ledetekst og les tjenestekonfigurasjonen før du rører rollen. To verdier betyr noe: starttypen og kontoen tjenesten kjører under. En standardinstallasjon registrerer tjenesten for automatisk, utsatt start under Network Service.

Hvis statusen står på Starting i stedet for Running, venter tjenesten på noe den ikke kan få, og påloggingsretten er den vanlige kandidaten. Lengre venting hjelper ikke, fordi starten allerede har feilet på en måte som Service Control Manager rapporterer som ventende. Stopp tjenesten rent og les konfigurasjonen på nytt. Se deretter på tjenestens startforsøk i hendelsesloggen, for det er der kontonavnet står ved siden av feilen.

Rolleveiviseren rapporterer bare at initialiseringen feilet, og nettopp derfor hører tjenestediagnosen først.

Les påloggingsretten før du installerer på nytt

Network Service trenger retten til å logge på som tjeneste for å starte. Innebygde kontoer får den vanligvis gjennom gruppemedlemskap, og en herdet grunnlinje eller en policyoppdatering kan ta den bort. Gruppepolicy vinner ved neste oppdatering, så en manuell tildeling kan forsvinne igjen uten varsel.

Eksporter den lokale sikkerhetspolicyen, og les oppføringen i stedet for å stole på GUI-et. Det etterlater en fil du kan sammenligne etter en oppdatering, og det er den eneste måten å vite om endringen overlevde. Hvis oppføringen er tom eller utelater kontoen, har du funnet feilen. Noter hvilket policyobjekt som setter den, for det objektet trenger den permanente rettelsen.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

En tildeling som brukes lokalt og overskrives av policy ved neste oppdatering, ser ut som en reparasjon som har sluttet å virke, og den vil feile igjen på samme måte.

Kontoturen som skriver konfigurasjonen på nytt

En snarvei reparerer tjenestens påloggingskonfigurasjon uten å redigere policyen for hånd: bytt konto, bruk, og bytt den så tilbake med passordfeltene tomme.

Turen skriver tjenesteposten på nytt og gir kontoen retten den trenger på nytt. Det er en omvei og ikke en rettelse av grunnårsaken, så den hører hjemme i endringsloggen med en dato ved siden av. Der en grunnlinje styrer serveren, er den riktige reparasjonen å legge kontoen til tildelingen av pålogging som tjeneste i den grunnlinjen. Gjør det først når du kan, og bruk turen bare til å låse opp en installasjon som ellers sitter fast.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Les statusen etter hver kommando, fordi en tjeneste som starter under én konto og ikke under den andre, forteller deg hvilken rett som mangler.

Installer rollen og bevis at den er installert

Når tjenesten kjører, legg til rollen igjen og ta med VPN-underfunksjonen du faktisk vil bruke. Den generiske rollen alene gir deg ikke et fungerende VPN-endepunkt.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Bekreft at underfunksjonene rapporterer Installed i stedet for Available, og åpne deretter konsollen og fullfør den første konfigurasjonen før noen andre rører maskinen. Hvis konsollen fortsatt hevder at tjenesten ikke kjører, gå tilbake til tjenestesjekken i stedet for å fjerne rollen.

Skriv ned hva du endret

Veiviserens første valg setter brannmurregler, adressetildeling og om serveren forventer en DHCP-relé. En håndfull punkt-til-område-klienter trenger ikke formen til et område-til-område-endepunkt. Bestem rollen, adresseutvalget, godkjenningsmetoden og sertifikatkilden før du klikker deg gjennom. Gjetting her gir en server som installeres rent og aldri godtar en tilkobling.

Hold avviket i tjenestekontoen i samme notat. En herdingsrunde som setter standardkontoen tilbake, kan gjenopprette feilen ved neste omstart, måneder etter at den som diagnostiserte den, har gått videre.