Inštalácia RRAS zlyhá, pretože služba RemoteAccess sa zasekne

Rola Routing and Remote Access môže zlyhať, pretože jej služba zostáva zaseknutá v Starting. Skontrolujte právo prihlásenia ako služba, skôr než čokoľvek preinštalujete.

Inštalácia role sa zastaví so všeobecnou chybou a protokol udalostí neponúka takmer nič na prácu. Na serveroch, kde sa to deje, chýbajúci diel vôbec nie je v sprievodcovi: služba Remote Access nikdy neopustí stav Starting. Rola, ktorá nedokáže dokončiť vlastnú inicializáciu, zlyhá znova pri každom pokuse, takže najprv ide služba a potom sprievodca. Oprava práva prihlásenia trvá minúty, kým opakovaná preinštalácia role nie.

Začnite službou, nie sprievodcom role

Otvorte zvýšený príkazový riadok a prečítajte konfiguráciu služby, skôr než sa role dotknete. Dve hodnoty sú dôležité: typ spustenia a účet, pod ktorým služba beží. Predvolená inštalácia registruje službu na automatické, oneskorené spustenie pod Network Service.

Ak stav zostáva na Starting namiesto Running, služba čaká na niečo, čo nemôže získať, a právom prihlásenia to zvyčajne býva. Dlhšie čakanie nepomôže, pretože spustenie už zlyhalo spôsobom, ktorý Service Control Manager hlási ako čakajúci. Zastavte službu čisto a prečítajte jej konfiguráciu znova. Potom sa pozrite na pokus o spustenie služby v protokole udalostí, práve tam sa objavuje meno účtu vedľa zlyhania.

Sprievodca role hlási len to, že inicializácia zlyhala, a práve preto má diagnostika služby prísť prvá.

Prečítajte právo prihlásenia pred preinštalovaním

Network Service potrebuje právo prihlásenia ako služba, aby sa mohla spustiť. Vstavané účty ho zvyčajne dostávajú členstvom v skupine a spevnená základná línia alebo obnovenie politiky ho môžu odobrať. Zásady skupiny vyhrajú pri ďalšom obnovení, takže ručne udelené právo môže znova zmiznúť bez varovania.

Exportujte lokálne bezpečnostné zásady a prečítajte záznam namiesto toho, aby ste verili GUI. Zostane vám súbor na porovnanie po obnovení, a to je jediný spôsob, ako zistiť, či zmena prežila. Ak je záznam prázdny alebo účet vynecháva, našli ste poruchu. Zapíšte, ktorý objekt zásad ho nastavuje, pretože práve ten objekt potrebuje trvalú opravu.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

Právo udelené lokálne a prepísané zásadami pri ďalšom obnovení vyzerá ako oprava, ktorá prestala fungovať, a zlyhá znova rovnakým spôsobom.

Okružná cesta účtu, ktorá prepisuje konfiguráciu

Skratka opraví konfiguráciu prihlásenia služby bez ručnej úpravy zásad: zmeňte účet, použite a potom ho zmeňte späť s prázdnymi poľami pre heslo.

Cesta prepíše záznam služby a znova udelí účtu právo, ktoré potrebuje. Je to obchádzka, nie oprava koreňovej príčiny, preto patrí do záznamu zmien s dátumom vedľa. Tam, kde server spravuje základná línia, je správnou opravou pridať účet do priradenia prihlásenia ako služba v tejto základnej línii. Urobte to najprv, keď môžete, a cestu použite len na odblokovanie inštalácie, ktorá je inak zaseknutá.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Po každom príkaze čítajte stav, pretože služba, ktorá sa spustí pod jedným účtom a nie pod druhým, vám povie, ktoré právo chýba.

Nainštalujte rolu a dokážte, že je nainštalovaná

Keď služba beží, pridajte rolu znova a zahrňte podfunkciu VPN, ktorú naozaj chcete používať. Všeobecná rola sama o sebe vám funkčný koncový bod VPN nedá.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Overte, že podfunkcie hlásia Installed, nie Available, potom otvorte konzolu a dokončite počiatočnú konfiguráciu, skôr než sa stroja dotkne niekto iný. Ak konzola stále tvrdí, že služba nebeží, vráťte sa ku kontrole služby namiesto odstránenia role.

Zapíšte, čo ste zmenili

Prvé voľby sprievodcu nastavujú pravidlá firewallu, prideľovanie adries a to, či server očakáva DHCP relay. Hŕstka klientov point-to-site nepotrebuje podobu koncového bodu site-to-site. Rozhodnite rolu, fond adries, metódu overovania a zdroj certifikátu, skôr než začnete klikať. Hádanie tu vytvorí server, ktorý sa čisto nainštaluje a nikdy neprijme spojenie.

Držte odchýlku v účte služby v tej istej poznámke. Kolo spevňovania, ktoré vráti predvolený účet, môže poruchu obnoviť pri ďalšom reštarte, mesiace po tom, ako ten, kto ju diagnostikoval, odišiel ďalej.

Súvisiace články