Windows VPN-feil 691: kva kontroll mislykkast eigentleg?

Windows avviser eit passord som det godtok ein annan stad eitt minutt tidlegare, så kontoen ser øydelagd ut sjølv om forsøket aldri vart vurdert. Feil 691 tyder at tilkoplinga vart avvist under autentiseringa, og klienten viser den same teksten anten hemmelegheita var feil, kontonamnet vart løyst til ein uventa identitet, eller ein tenarpolitikk avviste tilkoplinga. Tre ulike reparasjonar deler éi melding, og difor hjelper ein nullstilling nokre gonger og endrar andre gonger ingenting i det heile. Byrja med delen du kan undersøkje sjølv: den nøyaktige strengen klienten sende, og legitimasjonslageret han henta han frå. Spør deretter tenaren kva avgjerd han registrerte, fordi dialogen er ei avvising og ikkje ein diagnose.

Tre måtar å bli avvist på, éin dialog

Ei feil hemmelegheit er berre den første vegen til denne dialogen. Kontonamnet kan løysast til ein identitet du ikkje hadde tenkt på, kontoen kan mangla løyve til innringing, eller eit tenarvilkår kan avvise tilkoplinga etter at passordet er godteke. Kvart av desse tilfella gir den same klientteksten, og kvart har sin eigen reparasjon.

Difor ser ei nullstilling ut til å verke på måndag og gjer ingenting på tysdag. Les dialogen som ei avvising og ikkje som ein diagnose, og noter profilnamnet og det lokale tidspunktet for feilen før du rører kontoen.

Dei tre kategoriane mislykkast også på ulike lag. Ei feil hemmelegheit mislykkast i identitetsbeviset, ei feil kontoform mislykkast i oppslaget, og eit politikvilkår mislykkast i autorisasjonen etter at identiteten er prova. Berre den første vert reparert ved å byte passord. Dei to andre krev nokon med tilgang til avgjerdsloggen til tenaren, og difor er neste steg ein informasjonsførespurnad og ikkje ei ny nullstilling.

Kva klienten faktisk sende

Stadfest det godtekne kontoformatet med den som driv gatewayen, fordi eit bart brukarnamn, eit domenekvalifisert namn og eit hovudbrukarnamn kan løysast til ulike kontokontekstar. Berre eitt av dei er kanskje identiteten som har løyvet. Spør kva form gatewayen ventar før det første forsøket og ikkje etter det femte, og kontroller om klienten brukar ein lagra legitimasjon i staden for den du skreiv inn.

To skriveverna spørjingar på Windows-maskinen viser profilen og eventuell bufra legitimasjon som kan overstyre dialogen. Ingen av dei ringjer tenaren:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Handter passordet som data og ikkje som tekst kopiert frå eit dokument. Ein verdi som har gått gjennom eit skript kan bera escape-teikn som aldri var ein del av hemmelegheita, og ein konfigurasjonseksport har kanskje sett han i hermeteikn. Å fjerne kvart spesialteikn for at det skal passe er ei anna endring enn å finne den verkelege verdien, så fastset den verkelege verdien først.

Hent politikavgjerda, ikkje ei nullstilling

I ein fjernaksessutplassering som brukar ein nettverkspolicyserver, køyrer to avgjerder etter kvarandre. Autentisering fastset kva konto som spør, og autorisasjon avgjer om den kontoen i det heile får kople til. Politikvilkår og -avgrensingar vert vurderte etter eigne kriterium, så ei korrekt hemmelegheit avgjer berre den første halvdelen av spørsmålet. Politiknamnet i tenarhendinga angir kva avgjerd som faktisk vart køyrd.

Send administratoren profilnamnet, den forsøkte kontoen og tidsstempelet. Be om den tilhøyrande avgjerdsloggen og grunngjevinga i staden for nok ei passordnullstilling, og be om politiknamnet som hendinga ber. Microsofts referanse for feilkodar ved fjernaksess fører opp 691 blant legitimasjons- og autentiseringsfeila, og nettopp difor kan dialogen ikkje skilje dei tre tilfella.

Å gjere ein konto om til eit vilkårslaust løyve gjer ei autorisasjonsavgjerd til eit permanent unntak. Det fjernar også vilkåret som gjorde nytte, og den neste som gjennomgår politikken vil ikkje vite kvifor han vart endra. Be i staden eigaren stadfeste den tiltenkte politikken, slik at aksepten held fram med å vere medviten.

Prøv éin gong til, og samanlikn deretter

Gjenta same profil etter den eine korreksjonen du identifiserte. Viss tilgang vert godteken og ein intern ressurs framleis feilar, har feilen flytt til eit anna lag og seier ikkje lenger noko om passordet. Det er den uendra profilen som gjer samanlikninga meiningsfull.

Motstå freistinga til å deaktivere ein adressefamilie eller slå på detaljert sporing før avvisinga er forklart. Sporing gir volum og ikkje ei avgjerd, og det første nyttige resultatet er framleis komponenten som avviste forsøket, og grunngjevinga han registrerte. Når det er kjent, stadfestar det nye forsøket anten reparasjonen eller gir eit nytt og snevrare symptom.