Встановлення RRAS не вдається, бо служба RemoteAccess застрягає

Роль Routing and Remote Access може не встановитися, бо її служба залишається в стані Starting. Перевірте право входу як служби, перш ніж будь-що переінстальовувати.

Встановлення ролі зупиняється із загальною помилкою, а журнал подій майже нічого не дає для роботи. На серверах, де це трапляється, відсутньої частини немає в майстрі: служба Remote Access ніколи не залишає стан Starting. Роль, яка не може завершити власну ініціалізацію, знову зазнає невдачі при кожній спробі, тож спочатку йде служба, а майстер — другим. Виправлення права входу займає хвилини, а повторне встановлення ролі знову й знову — ні.

Почніть зі служби, а не з майстра ролі

Відкрийте командний рядок із підвищеними правами й прочитайте конфігурацію служби, перш ніж торкатися ролі. Важливі два значення: тип запуску й обліковий запис, під яким працює служба. Типове встановлення реєструє службу для автоматичного, відкладеного запуску під Network Service.

Якщо стан залишається в Starting, а не в Running, служба чекає на щось, чого не може отримати, і право входу — звичайний кандидат. Довше очікування не допомагає, бо запуск уже не вдався так, як Service Control Manager повідомляє про нього як про очікуваний. Зупиніть службу чисто й прочитайте її конфігурацію ще раз. Потім подивіться на спробу запуску служби в журналі подій, бо саме там ім’я облікового запису з’являється поряд із помилкою.

Майстер ролі повідомляє лише те, що ініціалізація не вдалася, і саме тому діагностика служби має бути першою.

Прочитайте право входу перед переінсталяцією

Network Service потребує права входу як служби, щоб запуститися. Вбудовані облікові записи зазвичай отримують його через членство в групі, а посилена базова лінія або оновлення політики можуть його відібрати. Групова політика перемагає при наступному оновленні, тож ручне надання може знову зникнути без попередження.

Експортуйте локальну політику безпеки й прочитайте запис, а не довіряйте GUI. Це залишає вам файл для порівняння після оновлення, і лише так можна дізнатися, чи зміна вижила. Якщо запис порожній або пропускає обліковий запис, ви знайшли несправність. Запишіть, який об’єкт політики його задає, бо саме цей об’єкт потребує постійного виправлення.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

Надання, застосоване локально й перезаписане політикою при наступному оновленні, виглядає як виправлення, що перестало працювати, і воно знову не спрацює так само.

Зворотний прохід облікового запису, який переписує конфігурацію

Є короткий шлях, який виправляє конфігурацію входу служби без ручного редагування політики: змініть обліковий запис, застосуйте, а потім змініть його назад, залишивши поля пароля порожніми.

Прохід переписує запис служби й знову дає обліковому запису потрібне право. Це обхід, а не виправлення першопричини, тож його місце в журналі змін із датою поряд. Там, де сервером керує базова лінія, правильне виправлення — додати обліковий запис до призначення входу як служби в цій базовій лінії. Зробіть це першим, коли можете, а прохід використовуйте лише щоб розблокувати встановлення, яке інакше застрягло.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Читайте стан після кожної команди, бо служба, яка запускається під одним обліковим записом і не запускається під іншим, каже вам, якого права бракує.

Встановіть роль і доведіть, що вона встановлена

Поки служба працює, додайте роль знову й уключіть ту підфункцію VPN, яку ви справді збираєтеся використовувати. Сама загальна роль не дає вам робочої кінцевої точки VPN.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Переконайтеся, що підфункції повідомляють Installed, а не Available, потім відкрийте консоль і завершіть початкове налаштування, перш ніж хтось інший торкнеться машини. Якщо консоль досі твердить, що служба не працює, поверніться до перевірки служби замість видалення ролі.

Запишіть, що ви змінили

Перші вибори майстра задають правила брандмауера, розподіл адрес і те, чи очікує сервер ретранслятор DHCP. Кільком клієнтам «точка — майданчик» не потрібна форма кінцевої точки «майданчик — майданчик». Вирішіть щодо ролі, пулу адрес, методу автентифікації й джерела сертифіката, перш ніж почати клацати. Здогадки тут дають сервер, який чисто встановлюється й ніколи не приймає з’єднання.

Тримайте відхилення в обліковому записі служби в тій самій нотатці. Прохід посилення, який повертає типовий обліковий запис, може відновити несправність при наступному перезапуску, через місяці після того, як той, хто її діагностував, уже пішов далі.

Схожі статті