Instalacija RRAS-a ne uspeva jer se servis RemoteAccess zaglavljuje

Instalacija uloge se zaustavlja na opštoj grešci, a dnevnik događaja ne pruža skoro ništa za rad. Na serverima gde se to dešava, deo koji nedostaje nije u čarobnjaku: servis Remote Access nikada ne napušta stanje Starting. Uloga koja ne može da završi sopstvenu inicijalizaciju ponovo ne uspeva pri svakom pokušaju, pa servis dolazi prvi, a čarobnjak drugi. Popravka prava prijave traje nekoliko minuta, a ponovna instalacija uloge iznova i iznova ne.

Počnite od servisa, a ne od čarobnjaka za ulogu

Otvorite podignuti komandni red i pročitajte konfiguraciju servisa pre nego što dodirnete ulogu. Dve vrednosti su važne: tip pokretanja i nalog pod kojim servis radi. Podrazumevana instalacija registruje servis za automatsko, odloženo pokretanje pod Network Service.

Ako status stoji na Starting umesto na Running, servis čeka nešto što ne može da dobije, a pravo prijave je uobičajen kandidat. Duže čekanje ne pomaže, jer je pokretanje već neuspelo na način koji Service Control Manager prijavljuje kao na čekanju. Zaustavite servis čisto i ponovo pročitajte njegovu konfiguraciju. Zatim pogledajte pokušaj pokretanja servisa u dnevniku događaja, jer se tu ime naloga pojavljuje pored greške.

Čarobnjak za ulogu prijavljuje samo da inicijalizacija nije uspela, i upravo zato dijagnostika servisa treba da bude prva.

Pročitajte pravo prijave pre ponovne instalacije

Network Service-u je potrebno pravo prijave kao servisa da bi se pokrenuo. Ugrađeni nalozi ga obično dobijaju kroz članstvo u grupi, a očvrsnuta osnovna linija ili osvežavanje politike mogu da ga oduzmu. Grupna politika pobeđuje pri sledećem osvežavanju, pa ručno dodeljeno pravo može ponovo da nestane bez upozorenja.

Izvezite lokalnu bezbednosnu politiku i pročitajte unos umesto da verujete GUI-ju. To vam ostavlja datoteku za poređenje posle osvežavanja, i to je jedini način da saznate da li je promena preživela. Ako je unos prazan ili izostavlja nalog, pronašli ste kvar. Zapišite koji objekat politike ga postavlja, jer tom objektu treba trajna popravka.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

Pravo primenjeno lokalno i prepisano politikom pri sledećem osvežavanju izgleda kao popravka koja je prestala da radi, i ponovo će neuspeti na isti način.

Kružni obilazak naloga koji prepisuje konfiguraciju

Prečica popravlja konfiguraciju prijave servisa bez ručnog uređivanja politike: promenite nalog, primenite, pa ga vratite natrag sa praznim poljima za lozinku.

Obilazak prepisuje zapis servisa i ponovo dodeljuje pravo koje nalog traži. To je zaobilazno rešenje, a ne popravka korenskog uzroka, pa mu je mesto u zapisu promena sa datumom pored njega. Gde osnovna linija upravlja serverom, ispravna popravka je dodati nalog u dodelu prijave kao servisa u toj osnovnoj liniji. Uradite to prvo kada možete, a obilazak koristite samo da odblokirate instalaciju koja je inače zaglavljena.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Čitajte status posle svake komande, jer servis koji se pokreće pod jednim nalogom a ne pod drugim kaže vam koje pravo nedostaje.

Instalirajte ulogu i dokažite da je instalirana

Dok servis radi, ponovo dodajte ulogu i uključite VPN podfunkciju koju stvarno nameravate da koristite. Sama opšta uloga ne daje vam radnu VPN završnu tačku.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Potvrdite da podfunkcije prijavljuju Installed, a ne Available, zatim otvorite konzolu i dovršite početnu konfiguraciju pre nego što bilo ko drugi dodirne mašinu. Ako konzola i dalje tvrdi da servis ne radi, vratite se proveri servisa umesto da uklonite ulogu.

Zapišite šta ste promenili

Prvi izbori u čarobnjaku postavljaju pravila zaštitnog zida, dodelu adresa i to da li server očekuje DHCP relej. Nekoliko klijenata od tačke do lokacije ne traži oblik završne tačke od lokacije do lokacije. Odlučite ulogu, skup adresa, metod autentifikacije i izvor sertifikata pre klikanja. Nagađanje ovde stvara server koji se čisto instalira i nikada ne prihvata vezu.

Zadržite odstupanje u nalogu servisa u istoj belešci. Prolaz očvršćavanja koji vraća podrazumevani nalog može da vrati kvar pri sledećem restartu, mesecima nakon što je onaj koji ga je dijagnostikovao otišao dalje.