Грешка 691 VPN-а у Windows-у: која провера заиста није успела?

Windows одбија лозинку коју је прихватио на другом месту минут раније, па налог изгледа покварено иако покушај никада није оцењен. Грешка 691 значи да је веза одбијена током аутентификације, а клијент приказује исти текст без обзира на то да ли је тајна била погрешна, да ли се име налога разрешило у неочекивани идентитет или је серверска политика одбила везу. Три различите поправке деле једну поруку, зато ресетовање понекад помаже, а понекад не мења ништа. Почните од дела који можете сами да прегледате: тачног низа који је клијент послао и складишта акредитива из ког га је узео. Затим питајте сервер коју је одлуку забележио, јер дијалог је одбијање, а не дијагноза.

Три начина да будете одбијени, један дијалог

Погрешна тајна је само први пут до овог дијалога. Име налога може да се разреши у идентитет који нисте намеравали, налог можда нема дозволу за позивање или серверски услов може да одбије везу након што је лозинка прихваћена. Сваки од тих случајева даје исти текст у клијенту, и сваки има своју поправку.

Зато ресетовање изгледа као да ради у понедељак, а у уторак не ради ништа. Читајте дијалог као одбијање, а не као дијагнозу, и пре него што дотакнете налог запишите име профила и локално време неуспеха.

Ове три категорије не успевају и на различитим слојевима. Погрешна тајна не успева у доказивању идентитета, погрешна форма налога не успева у претрази, а услов политике не успева у ауторизацији након што је идентитет доказан. Само прва се поправља променом лозинке. Друге две захтевају некога са приступом запису одлука сервера, зато је следећи корак захтев за информацијама, а не још једно ресетовање.

Шта је клијент заиста послао

Потврдите прихваћени формат налога са онима који управљају пролазом, јер голи корисничко име, име квалификовано доменом и главно корисничко име могу да воде у различите контексте налога. Само једно од њих може бити идентитет који има дозволу. Питајте који формат пролаз очекује пре првог покушаја, а не после петог, и проверите да ли клијент користи сачуване акредитиве уместо оних које сте унели.

Два упита само за читање на машини са Windows-ом приказују профил и све кеширане акредитиве који би могли да надјачају дијалог. Ниједан од њих не позива сервер:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Третирајте лозинку као податак, а не као текст копиран из документа. Вредност која је прошла кроз скрипту може да носи знакове за бекство који никада нису били део тајне, а извоз конфигурације ју је можда ставио у наводнике. Уклањање сваког специјалног знака да би се уклопила је другачија промена од проналажења праве вредности, зато прво утврдите праву вредност.

Добијте одлуку политике, а не ресетовање

У распоређивању удаљеног приступа које користи сервер мрежних политика, две одлуке се извршавају у низу. Аутентификација утврђује који налог пита, а ауторизација одлучује да ли тај налог уопште сме да се повеже. Услови и ограничења политике оцењују се по сопственим мерилима, па исправна тајна решава само прву половину питања. Име политике у догађају сервера показује која се одлука заиста извршила.

Пошаљите администратору име профила, покушани налог и временску ознаку. Затражите одговарајући запис одлуке и његов разлог уместо још једног ресетовања лозинке, и затражите име политике које догађај носи. референца за кодове грешака удаљеног приступа Microsoft-а наводи 691 међу грешкама акредитива и аутентификације, и управо зато дијалог не може да раздвоји три случаја.

Претварање налога у безусловну дозволу претвара одлуку о ауторизацији у трајни изузетак. Оно такође уклања услов који је обављао користан посао, а следећи који буде прегледао политику неће знати зашто се променила. Уместо тога затражите од власника да потврди намеравану политику, како би прихватање остало свесно.

Покушајте још једном, затим упоредите

Поновите исти профил након једине исправке коју сте утврдили. Ако је приступ прихваћен и неки интерни ресурс и даље не ради, неуспех се преселио на други слој и више не говори ништа о лозинци. Управо непромењен профил чини то поређење смисленим.

Одуприте се искушењу да онемогућите фамилију адреса или укључите детаљно праћење пре него што одбијање буде објашњено. Праћење ствара обим, а не одлуку, и први корисни резултат остаје компонента која је одбила покушај и разлог који је забележила. Када се то зна, нови покушај или потврђује поправку или даје нови и ужи симптом.