Instalarea RRAS eșuează pentru că serviciul RemoteAccess se blochează

Instalarea rolului se oprește cu o eroare generică, iar jurnalul de evenimente nu oferă aproape nimic cu ce să lucrați. Pe serverele unde se întâmplă asta, piesa lipsă nu este deloc în expert: serviciul Remote Access nu părăsește niciodată starea Starting. Un rol care nu își poate termina propria inițializare eșuează din nou la fiecare încercare, așa că serviciul vine primul, iar expertul al doilea. Repararea dreptului de conectare durează minute, iar reinstalarea repetată a rolului nu.

Începeți cu serviciul, nu cu expertul rolului

Deschideți un prompt ridicat și citiți configurația serviciului înainte de a atinge rolul. Două valori contează: tipul de pornire și contul sub care rulează serviciul. O instalare implicită înregistrează serviciul pentru o pornire automată și întârziată sub Network Service.

Dacă starea rămâne pe Starting în loc de Running, serviciul așteaptă ceva ce nu poate obține, iar dreptul de conectare este candidatul obișnuit. Așteptarea mai lungă nu ajută, pentru că pornirea a eșuat deja într-un mod pe care Service Control Manager îl raportează ca în așteptare. Opriți serviciul curat și citiți din nou configurația lui. Apoi priviți încercarea de pornire a serviciului în jurnalul de evenimente, pentru că acolo apare numele contului lângă eșec.

Expertul rolului raportează doar că inițializarea a eșuat, și exact de aceea diagnosticul serviciului trebuie să vină primul.

Citiți dreptul de conectare înainte de a reinstala

Network Service are nevoie de dreptul de conectare ca serviciu pentru a porni. Conturile încorporate îl primesc de obicei prin calitatea de membru al unui grup, iar o linie de bază întărită sau o reîmprospătare de politică îl pot lua. Politica de grup câștigă la reîmprospătarea următoare, așa că o acordare manuală poate dispărea din nou fără avertisment.

Exportați politica de securitate locală și citiți intrarea în loc să vă încredeți în GUI. Asta vă lasă un fișier de comparat după o reîmprospătare, și este singurul mod de a afla dacă modificarea a supraviețuit. Dacă intrarea este goală sau omite contul, ați găsit defectul. Notați ce obiect de politică o setează, pentru că acel obiect are nevoie de corectarea permanentă.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

O acordare aplicată local și suprascrisă de politică la reîmprospătarea următoare arată ca o reparație care a încetat să funcționeze, și va eșua din nou în același fel.

Drumul dus-întors al contului care rescrie configurația

O scurtătură repară configurația de conectare a serviciului fără a edita politica manual: schimbați contul, aplicați, apoi schimbați-l la loc cu câmpurile de parolă goale.

Drumul rescrie înregistrarea serviciului și acordă din nou contului dreptul de care are nevoie. Este o ocolire, nu o corectare a cauzei principale, așa că îi este locul în jurnalul modificărilor cu o dată alături. Unde o linie de bază administrează serverul, reparația corectă este să adăugați contul la atribuirea de conectare ca serviciu din acea linie de bază. Faceți asta mai întâi când puteți, și folosiți drumul doar ca să deblocați o instalare care altfel este blocată.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Citiți starea după fiecare comandă, pentru că un serviciu care pornește sub un cont și nu sub celălalt vă spune ce drept lipsește.

Instalați rolul și dovediți că este instalat

Cu serviciul pornit, adăugați din nou rolul și includeți subfuncția VPN pe care chiar intenționați să o folosiți. Rolul generic singur nu vă oferă un punct final VPN funcțional.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Confirmați că subfuncțiile raportează Installed în loc de Available, apoi deschideți consola și finalizați configurația inițială înainte ca altcineva să atingă mașina. Dacă consola încă susține că serviciul nu rulează, întoarceți-vă la verificarea serviciului în loc să eliminați rolul.

Notați ce ați schimbat

Primele alegeri ale expertului stabilesc regulile de firewall, alocarea adreselor și dacă serverul așteaptă un releu DHCP. Câțiva clienți punct-la-locație nu au nevoie de forma unui punct final locație-la-locație. Decideți rolul, grupul de adrese, metoda de autentificare și sursa certificatului înainte de a face clic. Ghicitul aici produce un server care se instalează curat și nu acceptă niciodată o conexiune.

Țineți abaterea în contul de serviciu în aceeași notă. O rundă de întărire care readuce contul implicit poate restabili defectul la repornirea următoare, la luni după ce cel care l-a diagnosticat a trecut mai departe.