A instalação do RRAS falha porque o serviço RemoteAccess fica parado

A instalação da função para com um erro genérico e o registo de eventos não oferece quase nada com que trabalhar. Nos servidores onde isto acontece, a peça em falta não está no assistente: o serviço Remote Access nunca sai do estado Starting. Uma função que não consegue concluir a própria inicialização falha de novo em cada tentativa, por isso o serviço vem primeiro e o assistente depois. Reparar o direito de início de sessão leva minutos, e reinstalar a função repetidamente não.

Comece pelo serviço, não pelo assistente da função

Abra uma linha de comandos elevada e leia a configuração do serviço antes de tocar na função. Dois valores importam: o tipo de arranque e a conta com que o serviço é executado. Uma instalação predefinida registra o serviço para um arranque automático e atrasado em Network Service.

Se o estado ficar em Starting em vez de Running, o serviço espera por algo que não consegue obter, e o direito de início de sessão é o candidato habitual. Esperar mais não ajuda, porque o arranque já falhou de uma forma que o Service Control Manager comunica como pendente. Pare o serviço de forma limpa e leia a configuração outra vez. Depois veja a tentativa de arranque do serviço no registo de eventos, porque é aí que o nome da conta aparece ao lado da falha.

O assistente da função só comunica que a inicialização falhou, e é exatamente por isso que o diagnóstico do serviço vem primeiro.

Leia o direito de início de sessão antes de reinstalar

Network Service precisa do direito de início de sessão como serviço para arrancar. As contas incorporadas recebem-no normalmente através da pertença a um grupo, e uma linha de base endurecida ou um refrescamento de política podem retirá-lo. A política de grupo ganha no refrescamento seguinte, por isso uma atribuição manual pode desaparecer de novo sem aviso.

Exporte a política de segurança local e leia a entrada em vez de confiar na GUI. Isso deixa-lhe um ficheiro para comparar depois de um refrescamento, e é a única forma de saber se a alteração sobreviveu. Se a entrada estiver vazia ou omitir a conta, encontrou o defeito. Anote qual objeto de política a define, porque é esse objeto que precisa da correção permanente.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

Uma atribuição aplicada localmente e substituída pela política no refrescamento seguinte parece uma reparação que deixou de funcionar, e voltará a falhar da mesma maneira.

A ida e volta da conta que reescreve a configuração

Um atalho repara a configuração de início de sessão do serviço sem editar a política à mão: mude a conta, aplique e depois volte a mudá-la com os campos de palavra-passe vazios.

A ida e volta reescreve o registo do serviço e volta a conceder o direito de que a conta precisa. É um contorno e não uma correção da causa raiz, por isso pertence ao registo de alterações com uma data ao lado. Onde uma linha de base gere o servidor, a reparação correta é acrescentar a conta à atribuição de início de sessão como serviço nessa linha de base. Faça isso primeiro quando puder, e use a ida e volta apenas para desbloquear uma instalação que de outra forma está presa.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Leia o estado depois de cada comando, porque um serviço que arranca com uma conta e não com a outra diz-lhe que direito falta.

Instale a função e prove que está instalada

Com o serviço a funcionar, acrescente a função outra vez e inclua a subfuncionalidade VPN que realmente pensa usar. A função genérica por si só não lhe dá um ponto final VPN funcional.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Confirme que as subfuncionalidades comunicam Installed em vez de Available, depois abra a consola e conclua a configuração inicial antes de mais alguém tocar na máquina. Se a consola continuar a afirmar que o serviço não está a funcionar, volte à verificação do serviço em vez de remover a função.

Anote o que alterou

As primeiras escolhas do assistente definem as regras de firewall, a atribuição de endereços e se o servidor espera um repetidor DHCP. Um punhado de clientes ponto-a-local não precisa da forma de um ponto final local-a-local. Decida a função, o conjunto de endereços, o método de autenticação e a origem do certificado antes de clicar. Adivinhar aqui produz um servidor que se instala sem problemas e nunca aceita uma ligação.

Mantenha o desvio na conta de serviço na mesma nota. Uma passagem de endurecimento que reponha a conta predefinida pode restaurar o defeito no reinício seguinte, meses depois de quem o diagnosticou ter avançado.