Gabimi 691 i VPN në Windows: cila kontroll dështoi në të vërtetë?

Windows refuzon një fjalëkalim që e kishte pranuar diku tjetër një minutë më parë, kështu që llogaria duket e prishur ndërsa përpjekja nuk u vlerësua kurrë. Gabimi 691 do të thotë se lidhja u refuzua gjatë vërtetimit, dhe klienti shfaq të njëjtin tekst pavarësisht nëse sekreti ishte i gabuar, nëse emri i llogarisë u zgjidh në një identitet të papritur, ose nëse një politikë në anën e serverit e refuzoi lidhjen. Tre riparime të ndryshme ndajnë një mesazh të vetëm, prandaj rivendosja ndonjëherë ndihmon dhe ndonjëherë nuk ndryshon absolutisht asgjë. Filloni me pjesën që mund ta inspektoni vetëm: vargun e saktë që dërgoi klienti dhe depon e kredencialeve nga e mori. Më pas pyesni serverin çfarë vendimi regjistroi, sepse dialogu është një refuzim dhe jo një diagnozë.

Tre mënyra për t'u refuzuar, një dialog

Një sekret i gabuar është vetëm rruga e parë drejt këtij dialogu. Emri i llogarisë mund të zgjidhet në një identitet që nuk e kishit për qëllim, llogaria mund të mos ketë leje për thirrje hyrëse, ose një kusht në server mund ta refuzojë lidhjen pasi fjalëkalimi pranohet. Secili prej këtyre rasteve prodhon të njëjtin tekst te klienti, dhe secili ka riparimin e vet.

Prandaj një rivendosje duket se funksionon të hënën dhe nuk bën asgjë të martën. Lexojeni dialogun si refuzim dhe jo si diagnozë, dhe shënoni emrin e profilit dhe orën lokale të dështimit përpara se të prekni llogarinë.

Këto tre kategori dështojnë edhe në shtresa të ndryshme. Sekreti i gabuar dështon në provën e identitetit, forma e gabuar e llogarisë dështon në kërkim, dhe kushti i politikës dështon në autorizim pasi identiteti vërtetohet. Vetëm i pari riparohet duke ndryshuar fjalëkalimin. Dy të tjerët kërkojnë dikë me akses në regjistrin e vendimeve të serverit, prandaj hapi tjetër është një kërkesë për informacion dhe jo një rivendosje tjetër.

Çfarë dërgoi në të vërtetë klienti

Konfirmoni formatin e pranuar të llogarisë me ata që menaxhojnë portën, sepse një emër përdoruesi i thjeshtë, një emër i kualifikuar me domen dhe një emër kryesor përdoruesi mund të zgjidhen në kontekste të ndryshme llogarie. Vetëm njëri prej tyre mund të jetë identiteti që mban lejen. Pyesni çfarë forme pret porta përpara përpjekjes së parë dhe jo pas të pestës, dhe kontrolloni nëse klienti ripërdor një kredencial të ruajtur në vend të atij që shtypët.

Dy pyetësorë vetëm-lexim në makinën Windows tregojnë profilin dhe çdo kredencial të ruajtur në memorie që mund ta mundë dialogun. Asnjëri prej tyre nuk e telefonon serverin:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Trajtojeni fjalëkalimin si të dhëna dhe jo si tekst të kopjuar nga një dokument. Një vlerë që ka kaluar nëpër një skript mund të mbajë karaktere shpëtimi që nuk ishin kurrë pjesë e sekretit, dhe një eksport konfigurimi mund ta ketë vënë në thonjëza. Heqja e çdo karakteri special që të përshtatet është një ndryshim tjetër nga gjetja e vlerës reale, prandaj së pari përcaktoni vlerën reale.

Merrni vendimin e politikës, jo një rivendosje

Në një vendosje të aksesit në distancë që përdor një server politikash rrjeti, dy vendime ekzekutohen me radhë. Vërtetimi përcakton cila llogari po pyet, dhe autorizimi vendos nëse ajo llogari mund të lidhet fare. Kushtet dhe kufizimet e politikës vlerësohen sipas kritereve të tyre, kështu që një sekret i saktë zgjidh vetëm gjysmën e parë të pyetjes. Emri i politikës në ngjarjen e serverit tregon cili vendim u ekzekutua në të vërtetë.

Dërgoni administratorit emrin e profilit, llogarinë e provuar dhe vulën kohore. Kërkoni regjistrin përkatës të vendimit dhe arsyen e tij në vend të një rivendosjeje tjetër të fjalëkalimit, dhe kërkoni emrin e politikës që mbart ngjarja. referenca e kodeve të gabimit të aksesit në distancë të Microsoft e rendit 691 ndër dështimet e kredencialeve dhe vërtetimit, dhe pikërisht për këtë arsye dialogu nuk mund t'i ndajë tre rastet.

Shndërrimi i një llogarie në leje të pakushtëzuar e kthen një vendim autorizimi në një përjashtim të përhershëm. Ai gjithashtu heq kushtin që bënte punë të dobishme, dhe personi tjetër që do të shqyrtojë politikën nuk do ta dijë pse ndryshoi. Kërkoni në vend të kësaj që pronari të konfirmojë politikën e synuar, që pranimi të mbetet i qëllimshëm.

Provoni edhe një herë, më pas krahasoni

Përsëritni të njëjtin profil pas korrigjimit të vetëm që identifikuat. Nëse aksesi pranohet dhe një burim i brendshëm vazhdon të dështojë, dështimi ka kaluar në një shtresë tjetër dhe nuk thotë më asgjë për fjalëkalimin. Është profili i pandryshuar ai që e bën atë krahasim kuptimplotë.

Rezistoni tundimit për të çaktivizuar një familje adresash ose për të aktivizuar gjurmimin e detajuar përpara se refuzimi të shpjegohet. Gjurmimi prodhon vëllim dhe jo një vendim, dhe rezultati i parë i dobishëm mbetet komponenti që e refuzoi përpjekjen dhe arsyeja që regjistroi. Pasi kjo dihet, përpjekja e re ose konfirmon riparimin ose prodhon një simptomë të re dhe më të ngushtë.