Instalacja RRAS kończy się niepowodzeniem, bo usługa RemoteAccess zawiesza się

Rola Routing and Remote Access może zawieść, ponieważ jej usługa pozostaje zablokowana w Starting. Sprawdź uprawnienie do logowania jako usługa, zanim cokolwiek przeinstalujesz.

Instalacja roli zatrzymuje się z ogólnym błędem, a dziennik zdarzeń nie daje prawie nic do pracy. Na serwerach, gdzie to się dzieje, brakującego elementu w ogóle nie ma w kreatorze: usługa Remote Access nigdy nie opuszcza stanu Starting. Rola, która nie potrafi dokończyć własnej inicjalizacji, zawodzi ponownie przy każdej próbie, więc najpierw idzie usługa, a potem kreator. Naprawa uprawnienia do logowania zajmuje minuty, a wielokrotne przeinstalowywanie roli nie.

Zacznij od usługi, nie od kreatora roli

Otwórz podniesiony wiersz poleceń i przeczytaj konfigurację usługi, zanim dotkniesz roli. Znaczenie mają dwie wartości: typ uruchomienia i konto, pod którym działa usługa. Domyślna instalacja rejestruje usługę do automatycznego, opóźnionego uruchomienia pod Network Service.

Jeśli stan stoi na Starting zamiast Running, usługa czeka na coś, czego nie może uzyskać, a uprawnienie do logowania jest zwykłym kandydatem. Dłuższe czekanie nie pomaga, bo uruchomienie już się nie powiodło w sposób, który Service Control Manager zgłasza jako oczekujący. Zatrzymaj usługę czysto i przeczytaj jej konfigurację jeszcze raz. Potem zajrzyj do próby uruchomienia usługi w dzienniku zdarzeń, bo tam nazwa konta pojawia się obok błędu.

Kreator roli zgłasza tylko, że inicjalizacja się nie powiodła, i właśnie dlatego diagnostyka usługi powinna być pierwsza.

Przeczytaj uprawnienie do logowania przed przeinstalowaniem

Network Service potrzebuje uprawnienia do logowania jako usługa, aby wystartować. Konta wbudowane zwykle otrzymują je przez członkostwo w grupie, a utwardzona linia bazowa lub odświeżenie zasad mogą je odebrać. Zasady grupy wygrywają przy następnym odświeżeniu, więc ręczne nadanie może znowu zniknąć bez ostrzeżenia.

Wyeksportuj lokalne zasady zabezpieczeń i przeczytaj wpis, zamiast ufać GUI. Zostaje ci plik do porównania po odświeżeniu i tylko tak można sprawdzić, czy zmiana przetrwała. Jeśli wpis jest pusty albo pomija konto, znalazłeś usterkę. Zapisz, który obiekt zasad go ustawia, bo to ten obiekt wymaga trwałej poprawki.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

Nadanie zastosowane lokalnie i nadpisane przez zasady przy następnym odświeżeniu wygląda jak naprawa, która przestała działać, i znowu zawiedzie w ten sam sposób.

Kontrolna podróż konta, która przepisuje konfigurację

Skrót naprawia konfigurację logowania usługi bez ręcznej edycji zasad: zmień konto, zastosuj, a potem zmień je z powrotem z pustymi polami hasła.

Podróż przepisuje rekord usługi i ponownie nadaje koncie potrzebne uprawnienie. To obejście, a nie naprawa przyczyny źródłowej, więc należy do dziennika zmian z datą obok. Tam, gdzie serwerem zarządza linia bazowa, właściwą naprawą jest dodanie konta do przypisania logowania jako usługa w tej linii bazowej. Zrób to najpierw, gdy możesz, a podróży używaj tylko do odblokowania instalacji, która inaczej utknęła.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Czytaj stan po każdym poleceniu, bo usługa, która startuje pod jednym kontem, a nie pod drugim, mówi ci, którego uprawnienia brakuje.

Zainstaluj rolę i udowodnij, że jest zainstalowana

Gdy usługa działa, dodaj rolę ponownie i uwzględnij podfunkcję VPN, której naprawdę zamierzasz używać. Sama ogólna rola nie daje ci działającego punktu końcowego VPN.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Potwierdź, że podfunkcje zgłaszają Installed, a nie Available, potem otwórz konsolę i dokończ konfigurację początkową, zanim ktokolwiek inny dotknie maszyny. Jeśli konsola nadal twierdzi, że usługa nie działa, wróć do sprawdzenia usługi, zamiast usuwać rolę.

Zapisz, co zmieniłeś

Pierwsze wybory kreatora ustalają reguły zapory, przydział adresów i to, czy serwer oczekuje przekaźnika DHCP. Garść klientów punkt-do-witryny nie potrzebuje kształtu punktu końcowego witryna-do-witryny. Zdecyduj o roli, puli adresów, metodzie uwierzytelniania i źródle certyfikatu, zanim klikniesz dalej. Zgadywanie tutaj daje serwer, który instaluje się czysto i nigdy nie przyjmuje połączenia.

Trzymaj odstępstwo w koncie usługi w tej samej notatce. Runda utwardzania, która przywraca konto domyślne, może przywrócić usterkę przy następnym restarcie, miesiące po tym, jak osoba, która ją zdiagnozowała, zajęła się czymś innym.

Powiązane artykuły