Napaka 691 VPN v Windows: katera preveritev je resnično spodletela?

Windows zavrne geslo, ki ga je minuto prej drugje sprejel, zato je račun videti pokvarjen, čeprav poskus ni bil nikoli ocenjen. Napaka 691 pomeni, da je bila povezava med preverjanjem pristnosti zavrnjena, in odjemalec prikaže isto besedilo ne glede na to, ali je bila skrivnost napačna, ali se je ime računa razrešilo v nepričakovano identiteto, ali je strežniški pravilnik zavrnil povezavo. Tri različna popravila si delijo eno sporočilo, zato ponastavitev včasih pomaga, včasih pa ne spremeni prav ničesar. Začnite z delom, ki ga lahko pregledate sami: natančen niz, ki ga je odjemalec poslal, in shramba poverilnic, iz katere ga je vzel. Nato vprašajte strežnik, katero odločitev je zabeležil, ker je pogovorno okno zavrnitev in ne diagnoza.

Trije načini, da ste zavrnjeni, eno pogovorno okno

Napačna skrivnost je le prva pot do tega pogovornega okna. Ime računa se lahko razreši v identiteto, ki si je niste zamislili, račun morda nima dovoljenja za klicno povezavo ali pa strežniški pogoj zavrne povezavo po tem, ko je geslo sprejeto. Vsak od teh primerov ustvari isto besedilo odjemalca in vsak ima svoje popravilo.

Zato je videti, da ponastavitev deluje v ponedeljek, v torek pa ne stori ničesar. Berite pogovorno okno kot zavrnitev in ne kot diagnozo, in pred dotikom računa zapišite ime profila in krajevni čas napake.

Te tri kategorije spodletijo tudi na različnih plasteh. Napačna skrivnost spodleti pri dokazu identitete, napačna oblika računa spodleti pri iskanju, pogoj pravilnika pa spodleti pri pooblastitvi, potem ko je identiteta dokazana. Samo prva se popravi s spremembo gesla. Drugi dve potrebujeta nekoga z dostopom do zapisa odločitev strežnika, zato je naslednji korak zahteva za informacije in ne še ena ponastavitev.

Kaj je odjemalec resnično poslal

Potrdite sprejeto obliko računa pri tistem, ki upravlja prehod, ker golo uporabniško ime, ime s kvalifikacijo domene in glavno uporabniško ime lahko vodijo v različne kontekste računa. Samo eno od njih je morda identiteta, ki ima dovoljenje. Vprašajte, kakšno obliko prehod pričakuje, pred prvim poskusom in ne po petem, ter preverite, ali odjemalec uporablja shranjene poverilnice namesto tistih, ki ste jih vnesli.

Dve poizvedbi samo za branje na napravi Windows pokažeta profil in vse predpomnjene poverilnice, ki bi lahko premagale pogovorno okno. Nobena od njiju ne kliče strežnika:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Geslo obravnavajte kot podatek in ne kot besedilo, kopirano iz dokumenta. Vrednost, ki je šla skozi skript, lahko nosi ubežne znake, ki nikoli niso bili del skrivnosti, izvoz konfiguracije pa jo je morda dal v narekovaje. Odstranjevanje vsakega posebnega znaka, da bi se prilegal, je drugačna sprememba kot iskanje prave vrednosti, zato najprej ugotovite pravo vrednost.

Pridobite odločitev pravilnika, ne ponastavitve

Pri uvajanju oddaljenega dostopa s strežnikom omrežnih pravilnikov se izvedeta dve odločitvi zaporedoma. Preverjanje pristnosti ugotovi, kateri račun sprašuje, pooblastitev pa odloči, ali se ta račun sploh sme povezati. Pogoji in omejitve pravilnika se ocenjujejo po lastnih merilih, zato pravilna skrivnost razreši le prvo polovico vprašanja. Ime pravilnika v dogodku strežnika pokaže, katera odločitev je bila resnično izvedena.

Skrbniku pošljite ime profila, poskušani račun in časovni žig. Namesto še ene ponastavitve gesla zahtevajte ustrezni zapis odločitve in njegov razlog ter ime pravilnika, ki ga dogodek nosi. Microsoftov pregled kode napak oddaljenega dostopa navaja 691 med napakami poverilnic in preverjanja pristnosti, in prav zato pogovorno okno ne more ločiti treh primerov.

Pretvorba računa v brezpogojno dovoljenje spremeni odločitev o pooblastitvi v trajno izjemo. Odstrani tudi pogoj, ki je opravljal koristno delo, in naslednji, ki bo pregledal pravilnik, ne bo vedel, zakaj se je spremenil. Namesto tega prosite lastnika, da potrdi predvideni pravilnik, da sprejetje ostane namerno.

Poskusite še enkrat, nato primerjajte

Ponovite isti profil po edinem popravku, ki ste ga ugotovili. Če je dostop sprejet in notranji vir še vedno spodleti, se je napaka preselila na drugo plast in ne pove več ničesar o geslu. Prav nespremenjen profil naredi to primerjavo smiselno.

Uprite se skušnjavi, da bi pred razlago zavrnitve onemogočili družino naslovov ali vklopili podrobno sledenje. Sledenje ustvari količino in ne odločitve, prvi koristni rezultat pa ostaja komponenta, ki je poskus zavrnila, in razlog, ki ga je zabeležila. Ko je to znano, poskus znova bodisi potrdi popravilo bodisi ustvari nov in ožji simptom.