Cài đặt RRAS thất bại vì dịch vụ RemoteAccess bị treo

Việc cài đặt vai trò dừng lại với một lỗi chung và nhật ký sự kiện gần như không cung cấp gì để làm việc. Trên những máy chủ nơi điều này xảy ra, phần còn thiếu không nằm trong trình hướng dẫn: dịch vụ Remote Access không bao giờ rời khỏi trạng thái Starting. Một vai trò không thể hoàn tất quá trình khởi tạo của chính nó lại thất bại ở mỗi lần thử, nên dịch vụ phải đi trước và trình hướng dẫn đi sau. Sửa quyền đăng nhập chỉ mất vài phút, còn cài lại vai trò nhiều lần thì không.

Hãy bắt đầu từ dịch vụ, không phải từ trình hướng dẫn vai trò

Mở một dấu nhắc lệnh có quyền nâng cao và đọc cấu hình của dịch vụ trước khi chạm vào vai trò. Hai giá trị quan trọng: kiểu khởi động và tài khoản mà dịch vụ chạy dưới đó. Một bản cài đặt mặc định đăng ký dịch vụ cho kiểu khởi động tự động, có trì hoãn dưới Network Service.

Nếu trạng thái đứng ở Starting thay vì Running, dịch vụ đang chờ một thứ mà nó không lấy được, và quyền đăng nhập là ứng viên thường gặp. Chờ lâu hơn không giúp gì, vì quá trình khởi động đã thất bại theo cách mà Service Control Manager báo là đang chờ. Dừng dịch vụ một cách sạch sẽ và đọc lại cấu hình của nó. Sau đó xem lần thử khởi động dịch vụ trong nhật ký sự kiện, vì tên tài khoản xuất hiện ngay cạnh lỗi ở đó.

Trình hướng dẫn vai trò chỉ báo rằng quá trình khởi tạo đã thất bại, và chính vì thế việc chẩn đoán dịch vụ phải được làm trước.

Đọc quyền đăng nhập trước khi cài lại

Network Service cần quyền đăng nhập dưới dạng dịch vụ để khởi động. Các tài khoản tích hợp thường nhận được quyền này qua tư cách thành viên nhóm, và một đường cơ sở được gia cố hoặc một lần làm mới chính sách có thể lấy đi. Chính sách nhóm thắng ở lần làm mới tiếp theo, nên một lần cấp thủ công có thể lại biến mất mà không có cảnh báo.

Xuất chính sách bảo mật cục bộ và đọc mục đó thay vì tin vào GUI. Việc đó để lại cho bạn một tệp để so sánh sau khi làm mới, và đó là cách duy nhất để biết thay đổi có sống sót hay không. Nếu mục đó trống hoặc bỏ sót tài khoản, bạn đã tìm ra lỗi. Ghi lại đối tượng chính sách nào đặt nó, vì chính đối tượng đó cần bản sửa lâu dài.

secedit /export /cfg C:\Windows\Temp\secpol-export.inf
Select-String -Path C:\Windows\Temp\secpol-export.inf -Pattern SeServiceLogonRight
sc.exe qc RemoteAccess
Get-Service RemoteAccess | Format-List Name, Status, StartType

Một lần cấp được áp dụng cục bộ và bị chính sách ghi đè ở lần làm mới tiếp theo trông giống một bản sửa đã ngừng hoạt động, và nó sẽ lại thất bại theo cùng cách.

Vòng đi-về của tài khoản, thứ viết lại cấu hình

Một lối tắt sửa cấu hình đăng nhập của dịch vụ mà không phải sửa chính sách bằng tay: đổi tài khoản, áp dụng, rồi đổi lại với các ô mật khẩu để trống.

Vòng đi-về viết lại bản ghi dịch vụ và cấp lại cho tài khoản quyền mà nó cần. Đây là một lối vòng tránh chứ không phải bản sửa nguyên nhân gốc, nên nó thuộc về sổ thay đổi kèm một ngày bên cạnh. Ở nơi một đường cơ sở quản lý máy chủ, bản sửa đúng là thêm tài khoản vào phần gán đăng nhập dưới dạng dịch vụ trong đường cơ sở đó. Hãy làm việc đó trước khi có thể, và chỉ dùng vòng đi-về để mở khóa một bản cài đặt đang bị kẹt.

sc.exe config RemoteAccess obj= "NT AUTHORITY\LocalService" start= demand
Start-Service RemoteAccess
sc.exe config RemoteAccess obj= "NT AUTHORITY\NetworkService" start= delayed-auto
Start-Service RemoteAccess

Đọc trạng thái sau mỗi lệnh, vì một dịch vụ khởi động được dưới tài khoản này mà không dưới tài khoản kia sẽ cho bạn biết quyền nào còn thiếu.

Cài vai trò và chứng minh rằng nó đã được cài

Khi dịch vụ đang chạy, thêm lại vai trò và bao gồm tính năng con VPN mà bạn thực sự định dùng. Chỉ riêng vai trò chung không cho bạn một điểm cuối VPN hoạt động được.

Install-WindowsFeature DirectAccess-VPN -IncludeManagementTools
Get-WindowsFeature RemoteAccess, DirectAccess-VPN, Routing
Get-Service RemoteAccess

Xác nhận rằng các tính năng con báo Installed thay vì Available, rồi mở bảng điều khiển và hoàn tất cấu hình ban đầu trước khi người khác chạm vào máy. Nếu bảng điều khiển vẫn khẳng định dịch vụ không chạy, hãy quay lại bước kiểm tra dịch vụ thay vì gỡ vai trò.

Ghi lại những gì bạn đã thay đổi

Những lựa chọn đầu tiên của trình hướng dẫn quyết định quy tắc tường lửa, việc chia địa chỉ và việc máy chủ có chờ một bộ chuyển tiếp DHCP hay không. Một vài máy khách điểm-tới-site không cần hình dạng của một điểm cuối site-tới-site. Hãy quyết định vai trò, nhóm địa chỉ, phương thức xác thực và nguồn chứng chỉ trước khi bấm. Đoán mò ở đây tạo ra một máy chủ cài đặt sạch sẽ và không bao giờ nhận kết nối.

Giữ sai lệch ở tài khoản dịch vụ trong cùng một ghi chú. Một đợt gia cố đưa tài khoản mặc định trở lại có thể khôi phục lỗi ở lần khởi động lại tiếp theo, nhiều tháng sau khi người đã chẩn đoán nó đã đi tiếp.