Chyba 691 VPN vo Windows: ktorá kontrola vlastne zlyhala?

Windows odmieta heslo, ktoré o minútu skôr inde prijal, takže účet vyzerá pokazený, hoci sa pokus vôbec nevyhodnotil. Chyba 691 znamená, že pripojenie bolo počas overovania odmietnuté, a klient vypíše rovnaký text bez ohľadu na to, či bolo tajomstvo nesprávne, či sa názov účtu preložil na neočakávanú identitu, alebo či serverová zásada pripojenie odmietla. Tri rôzne opravy zdieľajú jednu správu, a preto reset niekedy pomôže a inokedy nezmení vôbec nič. Začnite časťou, ktorú môžete preskúmať sami: presným reťazcom, ktorý klient odoslal, a úložiskom prihlasovacích údajov, z ktorého ho vzal. Potom sa servera opýtajte, aké rozhodnutie zaznamenal, pretože dialóg je odmietnutie, nie diagnóza.

Tri spôsoby odmietnutia, jeden dialóg

Nesprávne tajomstvo je len prvá cesta k tomuto dialógu. Názov účtu sa môže preložiť na identitu, ktorú ste nezamýšľali, účet nemusí mať oprávnenie na vytáčané pripojenie alebo serverová podmienka môže pripojenie odmietnuť po prijatí hesla. Každý z týchto prípadov vytvára rovnaký text klienta a každý má svoju vlastnú opravu.

Preto reset v pondelok vyzerá, že funguje, a v utorok nerobí nič. Čítajte dialóg ako odmietnutie, nie ako diagnózu, a pred dotykom účtu si poznamenajte názov profilu a miestny čas zlyhania.

Tieto tri kategórie zlyhávajú aj v rôznych vrstvách. Nesprávne tajomstvo zlyháva v preukázaní identity, nesprávna forma účtu zlyháva vo vyhľadaní a podmienka zásady zlyháva v autorizácii po preukázaní identity. Len prvá sa opravuje zmenou hesla. Ďalšie dve potrebujú niekoho s prístupom k záznamu rozhodnutí servera, a preto je ďalším krokom žiadosť o informácie, nie ďalší reset.

Čo klient skutočne odoslal

Potvrďte prijímaný formát účtu s tým, kto spravuje bránu, pretože holé používateľské meno, meno s doménou a hlavné používateľské meno môžu viesť do rôznych kontextov účtu. Len jedno z nich môže byť identita, ktorá má oprávnenie. Opýtajte sa, aký tvar brána očakáva, pred prvým pokusom, nie po piatom, a skontrolujte, či klient nepoužíva uložené prihlasovacie údaje namiesto tých, ktoré ste zadali.

Dva dotazy len na čítanie na počítači s Windows ukážu profil a všetky uložené prihlasovacie údaje v pamäti, ktoré by mohli dialóg prebiť. Ani jeden z nich nevytáča server:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Berte heslo ako údaje, nie ako text skopírovaný z dokumentu. Hodnota, ktorá prešla skriptom, môže niesť escapovacie znaky, ktoré nikdy neboli súčasťou tajomstva, a export konfigurácie ju mohol uzavrieť do úvodzoviek. Odstránenie každého špeciálneho znaku, aby sa vmestila, je iná zmena než nájdenie skutočnej hodnoty, preto najprv zistite skutočnú hodnotu.

Získajte rozhodnutie zásady, nie reset

V nasadení vzdialeného prístupu so serverom sieťových zásad prebiehajú dve rozhodnutia za sebou. Overovanie určuje, ktorý účet sa pýta, a autorizácia rozhoduje, či sa tento účet vôbec smie pripojiť. Podmienky a obmedzenia zásady sa vyhodnocujú podľa vlastných pravidiel, takže správne tajomstvo vyrieši len prvú polovicu otázky. Názov zásady v udalosti servera určuje, ktoré rozhodnutie sa skutočne vykonalo.

Pošlite správcovi názov profilu, skúšaný účet a časovú pečiatku. Požiadajte o zodpovedajúci záznam rozhodnutia a jeho dôvod namiesto ďalšieho resetu hesla a tiež o názov zásady, ktorý udalosť nesie. referenčný prehľad chybových kódov vzdialeného prístupu od Microsoftu uvádza 691 medzi chybami prihlasovacích údajov a overovania, a práve preto dialóg nedokáže tri prípady oddeliť.

Prevod účtu na bezpodmienečné povolenie mení rozhodnutie o autorizácii na trvalú výnimku. Zároveň odstraňuje podmienku, ktorá robila užitočnú prácu, a ďalší človek, ktorý zásadu posúdi, nebude vedieť, prečo sa zmenila. Požiadajte namiesto toho vlastníka, aby potvrdil zamýšľanú zásadu, aby prijatie zostalo vedomé.

Skúste to ešte raz, potom porovnajte

Zopakujte rovnaký profil po jedinej oprave, ktorú ste určili. Ak je prístup prijatý a nejaký interný prostriedok stále zlyháva, zlyhanie sa presunulo do inej vrstvy a už o hesle nič nehovorí. Práve nezmenený profil robí toto porovnanie zmysluplným.

Odolajte pokušeniu vypnúť rodinu adries alebo zapnúť podrobné trasovanie, kým nie je odmietnutie vysvetlené. Trasovanie vytvára objem, nie rozhodnutie, a prvým užitočným výsledkom zostáva komponent, ktorý pokus odmietol, a dôvod, ktorý zaznamenal. Keď je to známe, nový pokus buď opravu potvrdí, alebo prinesie nový a užší príznak.