Erro 691 de VPN no Windows: que verificação falhou realmente?

O Windows recusa uma palavra-passe que aceitou noutro local um minuto antes, pelo que a conta parece avariada quando a tentativa nunca chegou a ser avaliada. O erro 691 significa que a ligação foi recusada durante a autenticação, e o cliente mostra o mesmo texto quer o segredo estivesse errado, quer o nome da conta se tenha resolvido numa identidade inesperada, quer uma política do lado do servidor tenha recusado a ligação. Três reparações diferentes partilham uma só mensagem, por isso uma reposição às vezes ajuda e às vezes não muda absolutamente nada. Comece pela parte que pode inspecionar sozinho: a cadeia exata que o cliente enviou e o arquivo de credenciais de onde a retirou. Depois pergunte ao servidor que decisão registou, porque a caixa de diálogo é uma recusa e não um diagnóstico.

Três formas de ser recusado, uma só caixa de diálogo

Um segredo errado é apenas a primeira forma de chegar a esta caixa de diálogo. O nome da conta pode resolver-se numa identidade que não pretendia, a conta pode não ter permissão de marcação ou uma condição do servidor pode recusar a ligação depois de a palavra-passe ser aceite. Cada um destes casos produz o mesmo texto no cliente, e cada um tem a sua própria reparação.

É por isso que uma reposição parece funcionar à segunda-feira e não faz nada à terça-feira. Leia a caixa de diálogo como uma recusa e não como um diagnóstico, e anote o nome do perfil e a hora local da falha antes de tocar na conta.

As três categorias também falham em camadas diferentes. Um segredo errado falha a prova de identidade, uma forma de conta errada falha a pesquisa, e uma condição de política falha a autorização depois de a identidade ser provada. Só a primeira se repara mudando a palavra-passe. As outras duas precisam de alguém com acesso ao registo de decisões do servidor, por isso o passo seguinte é um pedido de informação e não outra reposição.

O que o cliente enviou realmente

Confirme o formato de conta aceite com quem administra a gateway, porque um nome de utilizador simples, um nome qualificado pelo domínio e um nome principal de utilizador podem resolver-se em contextos de conta diferentes. Só um deles poderá ser a identidade que detém a permissão. Pergunte que forma a gateway espera antes da primeira tentativa e não depois da quinta, e verifique se o cliente reutiliza uma credencial armazenada em vez da que escreveu.

Duas consultas só de leitura na máquina Windows mostram o perfil e qualquer credencial em cache que possa sobrepor-se à caixa de diálogo. Nenhuma das duas marca o servidor:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Trate a palavra-passe como dados e não como texto copiado de um documento. Um valor que passou por um script pode conter caracteres de escape que nunca fizeram parte do segredo, e uma exportação de configuração pode tê-lo colocado entre aspas. Remover todos os caracteres especiais para que encaixe é uma alteração diferente de encontrar o valor real, por isso estabeleça primeiro o valor real.

Obtenha a decisão da política, não uma reposição

Numa implementação de acesso remoto que utiliza um servidor de políticas de rede, duas decisões são executadas em sequência. A autenticação estabelece que conta está a pedir, e a autorização decide se essa conta pode sequer ligar-se. As condições e restrições da política são avaliadas pelos seus próprios critérios, por isso um segredo correto resolve apenas a primeira metade da questão. O nome da política no evento do servidor identifica que decisão foi realmente executada.

Envie ao administrador o nome do perfil, a conta tentada e a marca temporal. Peça o registo de decisão correspondente e o respetivo motivo em vez de outra reposição da palavra-passe, e peça o nome da política que o evento transporta. A referência de códigos de erro de acesso remoto da Microsoft inclui o 691 entre as falhas de credenciais e autenticação, e é exatamente por isso que a caixa de diálogo não consegue separar os três casos.

Converter uma conta numa permissão incondicional transforma uma decisão de autorização numa exceção permanente. Também remove a condição que fazia trabalho útil, e a próxima pessoa a rever a política não saberá porque mudou. Peça antes ao proprietário que confirme a política pretendida, para que a aceitação continue deliberada.

Tente mais uma vez e depois compare

Repita o mesmo perfil após a única correção que identificou. Se o acesso for aceite e um recurso interno continuar a falhar, a falha mudou de camada e já nada diz sobre a palavra-passe. É o perfil inalterado que torna essa comparação significativa.

Resista à tentação de desativar uma família de endereços ou de ativar o rastreio detalhado antes de a recusa estar explicada. O rastreio produz volume e não uma decisão, e o primeiro resultado útil continua a ser o componente que recusou a tentativa e o motivo que registou. Uma vez sabido, a nova tentativa confirma a reparação ou produz um sintoma novo e mais estreito.