在企业网络或远程办公环境中,使用CentOS搭建VPN服务（尤其是PPTP协议）是一种常见且经济高效的方案，当用户尝试通过Windows客户端连接到CentOS上的PPTP服务器时，常常会遇到错误代码691——“由于凭据无效而被拒绝访问”，这个错误看似简单，实则可能涉及多个层面的问题，包括认证机制、防火墙设置、PPP配置以及用户权限等，作为一名经验丰富的网络工程师，本文将深入剖析该问题的根源，并提供一套完整的排查流程和修复建议。
确认错误代码691的本质含义,该错误通常表明PPP（点对点协议）协商阶段失败，具体原因可能是用户名或密码错误，也可能是服务器端未正确配置认证方式（如pap/chap/mschap），第一步是检查客户端输入的账号密码是否准确无误，同时确保账户在服务器端存在并有权限访问VPN服务。
检查CentOS系统的PPTP服务组件是否安装完整,常见依赖包包括pptpd、iptables、ppp及radius等，若缺少关键模块，即使配置文件正确，也无法完成认证，可通过命令 rpm -qa | grep pptpd 检查是否已安装，缺失时用 yum install pptpd 安装，启用IP转发功能（echo 1 > /proc/sys/net/ipv4/ip_forward），并在 /etc/sysctl.conf 中永久设置 net.ipv4.ip_forward = 1，这是PPTP数据包转发的基础。
第三,审查/etc/pptpd.conf 和 /etc/ppp/options.pptpd 文件的配置。localip 和 remoteip 必须指定合法的网段地址，否则客户端无法获取IP地址；require-mschap-v2 设置为 yes 可提升安全性并兼容大多数Windows客户端；若使用CHAP认证，需确保/etc/ppp/chap-secrets 文件中配置了正确的用户名、服务器名、密码和允许的IP地址（可设为*表示任意IP）。
第四,防火墙是高频故障点，CentOS默认开启firewalld或iptables，若未开放PPTP所需的TCP 1723端口及GRE协议（协议号47），连接将被拦截，建议添加规则：
firewall-cmd --add-port=1723/tcp --permanent
firewall-cmd --add-protocol=gre --permanent
firewall-cmd --reload查看日志定位细节,使用 journalctl -u pptpd.service 或 tail -f /var/log/messages 能看到更详细的报错信息，如“invalid user”、“no secret found”等，有助于快速锁定问题。
错误代码691虽常见,但解决过程体现了网络工程师对系统底层机制的理解能力，从认证、网络、安全三个维度逐层排查，才能真正根除问题，建议在生产环境中部署前，先在测试环境验证所有配置项，并记录标准操作流程（SOP），以提升运维效率和稳定性。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
