在早期的企业网络部署中,Windows XP作为主流操作系统广泛应用于办公环境，其内置的远程访问功能（如PPTP或L2TP/IPsec）常被用于员工通过互联网安全接入内网，许多用户在尝试使用VPN连接时会遇到“错误691”——“用户名或密码错误”的提示，这往往令人困惑，因为输入的信息明明正确，作为一名资深网络工程师，我将从多个维度深入分析该问题的根本原因，并提供系统化的排查步骤和解决方案。
明确错误691的定义：它属于PPP（点对点协议）层的认证失败，意味着服务器端拒绝了客户端的身份验证请求，常见于使用PPTP协议的Windows XP客户端连接到Windows Server 2003/2008 RADIUS认证服务器或第三方NAS设备（如Cisco、华为等）的情况。
第一步是确认本地配置是否正确：
- 检查用户名格式：某些RADIUS服务器要求用户名包含域名前缀（如 domain\username），而部分系统默认使用本地账户格式。
- 密码是否区分大小写？Windows XP的VPN客户端不会提示大小写错误，但服务器端可能严格校验，务必确认无误。
- 是否启用了“加密身份验证”选项？若服务器配置为MS-CHAP v2，而客户端未启用，则会导致握手失败。
第二步检查服务端配置：
- 在Windows Server上，打开“路由和远程访问”管理工具，查看“远程访问策略”中是否允许该用户或组访问。
- 确认RADIUS服务器（如IAS或FreeRADIUS）的日志，查找具体的认证失败信息，如果看到“Access-Reject”，则说明服务器端拒绝了请求，可能是账号禁用、过期或权限不足。
- 若使用AD域控,需确保用户账户未被锁定、密码未过期，并且所属的组有“允许通过远程访问”的权限。
第三步排除网络与防火墙干扰：
- Windows XP默认不启用SSL/TLS加密传输，若服务器强制要求强加密（如IPsec），可能导致协商失败，可临时关闭“要求加密”选项测试。
- 检查本地防火墙（如Windows Firewall）是否阻止了PPTP的TCP 1723端口或GRE协议（协议号47），建议临时关闭防火墙测试连接。
- 若使用NAT设备（如路由器），需确保PPTP隧道穿透正常，必要时开启“PPTP Passthrough”或配置静态NAT映射。
第四步验证证书与密钥交换：
- 对于L2TP/IPsec场景，若客户端证书未安装或信任链不完整，也可能触发691错误，虽然XP支持证书认证，但配置复杂，建议优先排查基础认证问题。
- 使用Wireshark抓包分析PPTP控制通道（Port 1723）和GRE数据流，可定位具体哪一阶段认证失败。
推荐一套完整的诊断流程：
- 本地测试：在XP机器上手动拨号，记录详细日志（可通过“事件查看器”→“系统日志”查找PPTP相关事件）；
- 服务端测试：用另一台Windows XP或Linux客户端尝试连接，判断是否为特定用户问题；
- 升级方案：若长期运行XP环境，建议逐步迁移到Windows 10/11 + SSTP或OpenVPN，避免因系统漏洞带来的安全风险。
错误691看似简单,实则涉及客户端、服务器、网络三层的协同配置，作为网络工程师，应具备“从现象到本质”的逻辑推理能力，结合日志、抓包和配置文件逐层排查，方能高效解决问题，对于仍在维护XP环境的企业，更需警惕其安全性与兼容性风险，尽快规划迁移路径。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
