RRAS-installatie mislukt omdat de RemoteAccess-service blijft hangen

De installatie van de rol stopt met een algemene fout en het gebeurtenislogboek biedt bijna niets om mee te werken. Op de servers waar dit gebeurt, zit het ontbrekende stuk helemaal niet in de wizard: de Remote Access-service verlaat de status Starting nooit. Een rol die zijn eigen initialisatie niet kan afronden, mislukt bij elke nieuwe poging opnieuw, dus de service komt eerst en de wizard daarna. Het recht om aan te melden repareren kost minuten, de rol steeds opnieuw installeren niet.

Begin bij de service, niet bij de rolwizard

Open een verhoogde opdrachtprompt en lees de configuratie van de service voordat u de rol aanraakt. Twee waarden zijn van belang: het starttype en het account waaronder de service draait. Een standaardinstallatie registreert de service voor een automatische, vertraagde start onder Network Service.

Als de status op Starting blijft staan in plaats van Running, wacht de service op iets wat hij niet kan krijgen, en het aanmeldrecht is de gebruikelijke kandidaat. Langer wachten helpt niet, omdat de start al is mislukt op een manier die de Service Control Manager als in behandeling meldt. Stop de service netjes en lees de configuratie opnieuw. Kijk daarna naar de startpoging van de service in het gebeurtenislogboek, want daar staat de accountnaam naast de fout.

De rolwizard meldt alleen dat de initialisatie is mislukt, en juist daarom hoort de servicediagnose eerst.

Lees het aanmeldrecht voordat u opnieuw installeert

Network Service heeft het recht om aan te melden als service nodig om te kunnen starten. Ingebouwde accounts krijgen het meestal via groepslidmaatschap, en een geharde baseline of een beleidsvernieuwing kan het wegnemen. Groepsbeleid wint bij de volgende vernieuwing, dus een handmatige toewijzing kan zonder waarschuwing weer verdwijnen.

Exporteer het lokale beveiligingsbeleid en lees de vermelding in plaats van de GUI te vertrouwen. Dat laat u een bestand over om na een vernieuwing te vergelijken, en dat is de enige manier om te weten of de wijziging het heeft overleefd. Als de vermelding leeg is of het account weglaat, hebt u het defect gevonden. Noteer welk beleidsobject het instelt, want dat object heeft de blijvende correctie nodig.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

Een toewijzing die lokaal is toegepast en bij de volgende vernieuwing door beleid wordt overschreven, ziet eruit als een reparatie die is gestopt met werken, en zij zal op dezelfde manier opnieuw mislukken.

De accountrondgang die de configuratie herschrijft

Een snelkoppeling repareert de aanmeldconfiguratie van de service zonder het beleid met de hand te bewerken: wijzig het account, pas toe en wijzig het daarna terug met de wachtwoordvelden leeg.

De rondgang herschrijft de serviceregel en verleent het account opnieuw het recht dat het nodig heeft. Het is een omweg en geen correctie van de grondoorzaak, dus hoort het in het wijzigingslogboek met een datum ernaast. Waar een baseline de server beheert, is de juiste reparatie het account toe te voegen aan de toewijzing van aanmelden als service in die baseline. Doe dat eerst wanneer u kunt, en gebruik de rondgang alleen om een installatie die anders vastzit, los te krijgen.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Lees de status na elk commando, want een service die onder het ene account start en onder het andere niet, vertelt u welk recht ontbreekt.

Installeer de rol en bewijs dat hij is geïnstalleerd

Voeg met de service actief de rol opnieuw toe en neem de VPN-subfunctie mee die u werkelijk wilt gebruiken. De algemene rol alleen geeft u geen werkend VPN-eindpunt.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Controleer dat de subfuncties Installed melden in plaats van Available, open dan de console en rond de eerste configuratie af voordat iemand anders de machine aanraakt. Als de console nog steeds beweert dat de service niet draait, ga dan terug naar de servicecontrole in plaats van de rol te verwijderen.

Schrijf op wat u hebt gewijzigd

De eerste keuzes van de wizard bepalen de firewallregels, de adrestoewijzing en of de server een DHCP-relay verwacht. Een handvol punt-naar-site-clients heeft niet de vorm van een site-naar-site-eindpunt nodig. Bepaal de rol, de adrespool, de authenticatiemethode en de bron van het certificaat voordat u doorklikt. Gissen levert hier een server op die schoon installeert en nooit een verbinding accepteert.

Houd de afwijking in het serviceaccount in dezelfde notitie. Een verhardingsronde die het standaardaccount terugzet, kan het defect bij de volgende herstart herstellen, maanden nadat degene die het diagnosticeerde verder is gegaan.