在现代网络环境中，虚拟私人网络（VPN）已成为企业远程办公、个人隐私保护和跨境访问资源的重要工具，许多用户在使用Windows系统自带的PPTP或L2TP/IPsec等协议连接到远程服务器时，常遇到“错误691”——“用户名或密码无效”，这一错误看似简单，实则可能涉及多个层面的问题，包括账号配置、服务器设置、认证机制乃至网络策略，作为网络工程师，本文将从技术角度剖析错误691的根本成因,并提供一套完整的排查与解决流程。
错误691最直接的表现是客户端无法通过身份验证，它通常出现在拨号连接过程中，当输入正确的用户名和密码后，系统仍提示“登录失败”，这说明问题不在密码本身，而在于认证服务器未能成功处理该请求,常见的根源包括以下几类：
-
账户权限配置问题
Windows服务器（如RRAS）上的用户账户若未被正确分配到“远程访问权限”，即使密码正确也会返回691，检查方法是在服务器管理器中进入“本地用户和组”→“用户”，右键目标用户选择“属性”，确保勾选了“允许远程访问”选项，若使用域账户，需确认该用户是否属于“远程桌面用户组”或特定的RADIUS认证策略。 -
认证协议不匹配
某些情况下，客户端与服务器端使用的认证方式不同（例如客户端使用MS-CHAP v2，而服务器仅支持PAP），会导致握手失败，建议在服务器端的“远程访问策略”中统一配置为兼容性强的MS-CHAP v2,并确保客户端也启用相同协议。 -
RADIUS服务器故障或配置错误
若使用外部RADIUS服务器（如Microsoft NPS或FreeRADIUS）进行集中认证，需检查其日志文件（如事件查看器中的“远程访问”事件），常见错误包括共享密钥不一致、用户数据库未同步或认证服务器宕机，可通过ping测试和telnet 1812端口验证RADIUS服务可用性。 -
防火墙或NAT干扰
企业网络中，防火墙规则可能阻止PPTP的TCP 1723端口或GRE协议（IP协议号47）通信，建议临时关闭防火墙测试是否恢复连接；若客户位于NAT环境下，需确认是否启用了“UDP端口转发”或“NAT穿越”功能。 -
服务器端负载过高或会话限制
如果服务器已达到最大并发连接数（如默认限制为100个），新连接将被拒绝，可在“远程访问服务器属性”中调整“最大连接数”参数，并监控性能计数器（如“远程访问会话数”）。
推荐使用“事件查看器”（Event Viewer）查看详细日志，尤其是“Windows Logs → System”和“Remote Access”子项，可定位到具体出错时间点和错误代码（如0x000002AD对应691），对于复杂环境，建议部署专用网络监控工具（如Wireshark抓包分析）进一步诊断链路层交互问题。
错误691虽常见，但解决路径清晰：优先验证账户权限，其次检查认证协议一致性，再排查RADIUS与防火墙配置，通过分层排查法，绝大多数691问题可在15分钟内定位并修复,保障用户高效安全地接入远程网络。
