RRAS-installasjonen mislukkast fordi RemoteAccess-tenesta stoppar

Installasjonen av rolla stoppar med ein generell feil, og hendingsloggen gir nesten ingenting å arbeide med. På tenarane der dette skjer, er den manglande biten slett ikkje i vegvisaren: Remote Access-tenesta forlèt aldri tilstanden Starting. Ei rolle som ikkje kan fullføre si eiga initiering, feilar igjen ved kvart nytt forsøk, så tenesta kjem først og vegvisaren etterpå. Det tek minutt å reparere påloggingsretten, og det gjer gjenteken nyinstallasjon av rolla ikkje.

Start ved tenesta, ikkje ved rollevegvisaren

Opne ei forhøgd ledetekst og les tenestekonfigurasjonen før du rører rolla. To verdiar har noko å seie: starttypen og kontoen tenesta køyrer under. Ein standardinstallasjon registrerer tenesta for automatisk, utsett start under Network Service.

Dersom statusen står på Starting i staden for Running, ventar tenesta på noko ho ikkje kan få, og påloggingsretten er den vanlege kandidaten. Lengre venting hjelper ikkje, fordi starten allereie har feila på ein måte som Service Control Manager rapporterer som ventande. Stopp tenesta reint og les konfigurasjonen på nytt. Sjå deretter på startforsøket til tenesta i hendingsloggen, for det er der kontonamnet står ved sida av feilen.

Rollevegvisaren rapporterer berre at initieringa feila, og nettopp derfor høyrer tenestediagnosen først.

Les påloggingsretten før du installerer på nytt

Network Service treng retten til å logge på som teneste for å starte. Innebygde kontoar får han vanlegvis gjennom gruppemedlemskap, og ei herda grunnlinje eller ei policyoppdatering kan ta han bort. Gruppepolicy vinn ved neste oppdatering, så ei manuell tildeling kan forsvinne igjen utan varsel.

Eksporter den lokale tryggleikspolicyen, og les oppføringa i staden for å stole på GUI-et. Det lèt deg sitje igjen med ei fil du kan samanlikne etter ei oppdatering, og det er den einaste måten å vite om endringa overlevde. Dersom oppføringa er tom eller utelèt kontoen, har du funne feilen. Noter kva policyobjekt som set henne, for det objektet treng den permanente rettinga.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

Ei tildeling som blir brukt lokalt og overstyrt av policy ved neste oppdatering, ser ut som ei retting som har slutta å verke, og ho vil feile igjen på same måte.

Kontoturen som skriv konfigurasjonen på nytt

Ein snarveg reparerer påloggingskonfigurasjonen til tenesta utan å redigere policyen for hand: byt konto, bruk, og byt han så tilbake med passordfelta tome.

Turen skriv tenesteposten på nytt og gir kontoen retten han treng på nytt. Det er ein omveg og ikkje ei retting av grunnårsaka, så han høyrer heime i endringsloggen med ein dato ved sida av. Der ei grunnlinje styrer tenaren, er den rette rettinga å leggje kontoen til tildelinga av pålogging som teneste i den grunnlinja. Gjer det først når du kan, og bruk turen berre til å låse opp ein installasjon som elles sit fast.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Les statusen etter kvar kommando, fordi ei teneste som startar under éin konto og ikkje under den andre, fortel deg kva rett som manglar.

Installer rolla og prov at ho er installert

Når tenesta køyrer, legg til rolla igjen og ta med VPN-underfunksjonen du faktisk vil bruke. Den generiske rolla åleine gir deg ikkje eit fungerande VPN-endepunkt.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Stadfest at underfunksjonane rapporterer Installed i staden for Available, og opne deretter konsollen og fullfør den første konfigurasjonen før nokon andre rører maskinen. Dersom konsollen framleis hevdar at tenesta ikkje køyrer, gå tilbake til tenestesjekken i staden for å fjerne rolla.

Skriv ned kva du endra

Dei første vala i vegvisaren set brannmurreglar, adressetildeling og om tenaren ventar ei DHCP-vidaresending. Ein handfull punkt-til-område-klientar treng ikkje forma til eit område-til-område-endepunkt. Avgjer rolla, adresseutvalet, godkjenningsmetoden og kjelda til sertifikatet før du klikkar deg gjennom. Gjetting her gir ein tenar som blir installert reint og aldri godtek ei tilkopling.

Hald avviket i tenestekontoen i same notatet. Ei herdingsrunde som set standardkontoen tilbake, kan gjenopprette feilen ved neste omstart, månader etter at den som diagnostiserte han, har gått vidare.