在企业网络环境中，Windows Server 2003 的远程访问服务（RRAS）常被用作构建虚拟专用网络（VPN）的核心组件，许多网络管理员在配置或使用该系统时，经常会遇到一个经典错误——“错误691：用户名或密码无效”，这个错误看似简单，实则可能涉及多个层面的问题，包括身份验证机制、用户权限、网络策略配置甚至硬件兼容性，本文将从故障现象出发，系统分析其成因,并提供可落地的排查与修复方案。
我们要明确什么是错误691，当客户端尝试通过PPTP或L2TP协议连接到Windows Server 2003的VPN服务器时，如果收到“691”错误，说明服务器拒绝了用户的登录请求，但未提供具体是用户名错误还是密码错误，这通常是由于身份验证失败导致的,而非单纯的输入错误。
常见的根源之一是用户账户权限配置不当，在Windows Server 2003中，若用户账户未被赋予“允许通过远程访问”权限，则即便用户名和密码正确，也会触发691错误，解决方法是在“Active Directory 用户和计算机”中找到对应用户，右键选择“属性”，进入“拨入”选项卡，确保勾选了“允许远程访问”并设置合适的访问控制策略（如“允许访问”或“仅允许特定时间段”）。
身份验证方式不匹配也可能引发此问题，Server 2003默认使用MS-CHAP v2进行身份验证，但如果客户端或NAS设备（如路由器）未启用该协议，或证书配置异常（尤其在L2TP/IPSec场景下），会导致认证过程中断，此时应检查RADIUS服务器配置（如有），或直接在本地用户数据库中确认是否启用了正确的验证协议，建议使用Network Monitor或Wireshark抓包分析认证握手过程,定位失败环节。
第三，用户账户本身的状态也需关注，账户是否已被锁定？是否过期？是否被禁用？这些都会导致691错误，可通过命令行工具net user username查看账户状态，也可在事件查看器中查找系统日志（如Security日志）中的登录失败记录,以获得更详细的失败信息。
某些第三方防火墙软件或杀毒程序可能会干扰PPTP隧道建立，尤其是在端口1723未开放的情况下，请确保服务器防火墙允许PPTP流量（TCP 1723 + GRE协议）,且无其他安全软件拦截通信。
值得一提的是，Server 2003已停止官方支持多年，存在诸多已知漏洞，若条件允许，建议逐步迁移到更新版本的Windows Server（如2012 R2及以上）或使用开源方案（如OpenVPN），即便暂时无法迁移，也应定期备份配置、应用补丁、加强访问控制,以降低风险。
错误691虽常见，但其背后往往隐藏着复杂的网络配置逻辑，作为网络工程师，我们不仅要快速定位问题，更要理解其本质，从而提升整个网络环境的稳定性与安全性，通过细致排查账户权限、验证协议、防火墙规则和系统日志,绝大多数691错误均可高效解决。
VPN加速器|半仙VPN加速器-免费VPN梯子首选半仙VPN
