Lỗi VPN Windows 691: kiểm tra nào thực sự đã thất bại?

Windows từ chối một mật khẩu mà nó đã chấp nhận ở nơi khác một phút trước, nên tài khoản trông như hỏng trong khi lần thử đó chưa bao giờ được đánh giá. Lỗi 691 nghĩa là kết nối bị từ chối trong quá trình xác thực, và ứng dụng hiển thị cùng một văn bản dù bí mật sai, tên tài khoản phân giải thành một danh tính không mong đợi, hay chính sách phía máy chủ từ chối kết nối. Ba cách sửa khác nhau chia sẻ một thông báo, vì thế đặt lại đôi khi giúp ích và đôi khi không thay đổi gì cả. Hãy bắt đầu từ phần bạn có thể tự kiểm tra: chuỗi chính xác mà ứng dụng đã gửi và kho thông tin xác thực mà nó lấy ra. Sau đó hỏi máy chủ xem nó đã ghi nhận quyết định nào, vì hộp thoại là một lời từ chối chứ không phải chẩn đoán.

Ba cách bị từ chối, một hộp thoại

Bí mật sai chỉ là cách đầu tiên để đến hộp thoại này. Tên tài khoản có thể phân giải thành một danh tính mà bạn không định, tài khoản có thể không có quyền quay số, hoặc một điều kiện phía máy chủ có thể từ chối kết nối sau khi mật khẩu được chấp nhận. Mỗi trường hợp đều tạo ra cùng văn bản phía ứng dụng, và mỗi trường hợp có cách sửa riêng.

Đó là lý do một lần đặt lại có vẻ hiệu quả vào thứ Hai và không làm gì vào thứ Ba. Hãy đọc hộp thoại như một lời từ chối chứ không phải chẩn đoán, và ghi lại tên hồ sơ cùng giờ địa phương của lần thất bại trước khi động vào tài khoản.

Ba loại cũng thất bại ở các tầng khác nhau. Bí mật sai làm hỏng phép chứng minh danh tính, hình thức tài khoản sai làm hỏng tra cứu, và điều kiện chính sách làm hỏng ủy quyền sau khi danh tính đã được chứng minh. Chỉ loại đầu được sửa bằng cách đổi mật khẩu. Hai loại còn lại cần người có quyền truy cập hồ sơ quyết định của máy chủ, vì thế bước tiếp theo là yêu cầu thông tin chứ không phải một lần đặt lại nữa.

Ứng dụng thực sự đã gửi gì

Hãy xác nhận định dạng tài khoản được chấp nhận với người vận hành cổng, vì tên người dùng trần, tên có miền định danh và tên chính của người dùng có thể phân giải thành các ngữ cảnh tài khoản khác nhau. Chỉ một trong số đó có thể là danh tính nắm quyền. Hãy hỏi cổng mong đợi hình thức nào trước lần thử đầu tiên chứ không phải sau lần thứ năm, và kiểm tra xem ứng dụng có dùng lại thông tin xác thực đã lưu thay cho thông tin bạn gõ hay không.

Hai truy vấn chỉ đọc trên máy Windows cho thấy hồ sơ và bất kỳ thông tin xác thực được lưu trong bộ nhớ đệm nào có thể lấn át hộp thoại. Cả hai đều không gọi máy chủ:

Get-VpnConnection -Name 'Corp VPN' | Format-List Name, ServerAddress, TunnelType, AuthenticationMethod
cmdkey /list | Select-String -Pattern 'corp' -SimpleMatch

Hãy coi mật khẩu là dữ liệu chứ không phải văn bản sao chép từ tài liệu. Một giá trị đi qua tập lệnh có thể mang ký tự thoát chưa từng là phần của bí mật, và bản xuất cấu hình có thể đã đặt nó trong dấu ngoặc kép. Việc xóa mọi ký tự đặc biệt để nó vừa khít là thay đổi khác với việc tìm giá trị thật, vì vậy trước hết hãy xác lập giá trị thật.

Hãy lấy quyết định chính sách, không phải một lần đặt lại

Trong một triển khai truy cập từ xa dùng máy chủ chính sách mạng, hai quyết định chạy nối tiếp nhau. Xác thực xác lập tài khoản nào đang hỏi, và ủy quyền quyết định tài khoản đó có được kết nối hay không. Các điều kiện và ràng buộc của chính sách được đánh giá theo tiêu chí riêng, nên một bí mật đúng chỉ giải quyết nửa đầu của câu hỏi. Tên chính sách trong sự kiện máy chủ cho biết quyết định nào thực sự đã chạy.

Hãy gửi cho quản trị viên tên hồ sơ, tài khoản đã thử và dấu thời gian. Hãy yêu cầu bản ghi quyết định tương ứng cùng lý do của nó thay vì một lần đặt lại mật khẩu nữa, và yêu cầu tên chính sách mà sự kiện mang theo. tài liệu tham chiếu mã lỗi truy cập từ xa của Microsoft liệt kê 691 trong số các lỗi thông tin xác thực và xác thực, và chính vì thế hộp thoại không thể tách ba trường hợp.

Biến một tài khoản thành quyền cho phép vô điều kiện biến một quyết định ủy quyền thành ngoại lệ vĩnh viễn. Nó cũng gỡ bỏ điều kiện đang làm việc hữu ích, và người tiếp theo xem xét chính sách sẽ không biết vì sao nó thay đổi. Thay vào đó hãy đề nghị chủ sở hữu xác nhận chính sách dự định, để việc chấp nhận vẫn có chủ đích.

Hãy thử lại một lần, rồi so sánh

Hãy lặp lại cùng hồ sơ sau bản sửa duy nhất mà bạn đã xác định. Nếu quyền truy cập được chấp nhận và một tài nguyên nội bộ vẫn thất bại, thì lỗi đã chuyển sang tầng khác và không còn nói gì về mật khẩu. Chính hồ sơ không đổi là thứ khiến phép so sánh đó có ý nghĩa.

Hãy chống lại cám dỗ tắt một họ địa chỉ hoặc bật theo dõi chi tiết trước khi lời từ chối được giải thích. Theo dõi tạo ra khối lượng chứ không phải quyết định, và kết quả hữu ích đầu tiên vẫn là thành phần đã từ chối lần thử cùng lý do nó đã ghi. Khi biết điều đó, lần thử lại hoặc xác nhận bản sửa hoặc tạo ra một triệu chứng mới và hẹp hơn.