在使用移动设备连接企业或远程办公网络时,用户经常会遇到“错误691”这一提示，尤其在使用手机（如安卓或iOS设备）通过PPTP、L2TP/IPsec等协议连接VPN时，错误691是最常见的连接失败代码之一，作为一名网络工程师，我经常收到客户反馈：“为什么我手机连不上VPN？显示错误691？”本文将从技术原理出发，深入剖析该错误的成因，并提供一套系统性的排查与解决方案，帮助用户快速恢复网络连接。

错误691的官方定义是：“Access Denied due to invalid username or password”，这说明问题的核心在于认证失败——也就是说，服务器拒绝了你的登录请求，而非网络不通或配置错误，但需要注意的是，这个错误并不总是由密码错误引起，它可能隐藏着更复杂的底层问题。

常见原因一：账号或密码输入错误
这是最直观的原因，请务必确认用户名和密码是否准确无误，注意区分大小写，尤其是企业内网账户常采用“域+用户名”的格式（DOMAIN\username），部分公司要求定期更换密码，若未及时更新，也会触发此错误。

常见原因二：账户权限不足
即使密码正确，若账户未被授予访问特定资源（如内部网段、服务器等）的权限，服务器也可能返回691，建议联系IT管理员检查该账户是否已被添加至允许接入的组策略中，或者是否启用了“远程访问”权限。

常见原因三：认证服务器配置异常
如果使用的是自建的Windows Server作为RAS（远程访问服务），需检查以下设置：

• RADIUS服务器是否正常运行；
• 用户账户是否已启用“拨入属性”中的“允许访问”选项；
• 是否存在多因素认证（MFA）未完成的情况（比如短信验证码未输入）；
• 本地安全策略是否限制了某些IP地址或时间段的访问。

常见原因四：手机客户端配置问题
很多用户直接用系统自带的VPN功能配置，但容易忽略细节。

• PPTP协议在安卓上可能因加密方式不兼容而失败；
• L2TP/IPsec需要正确配置预共享密钥（PSK）；
• 手机时间不同步可能导致证书验证失败（尤其在IPsec场景下）；
• 使用第三方应用（如Cisco AnyConnect、OpenVPN）时，证书过期或配置文件损坏也会报错。

解决方案步骤如下：

1. 基础检查：重启手机、重新输入账号密码，确保没有空格或特殊字符误输入；
2. 查看日志：安卓可通过ADB命令或第三方工具查看系统日志；iOS可尝试打开“设置 > 通用 > 关于本机 > 系统日志”查找相关记录；
3. 测试其他设备：用电脑或其他手机尝试同一账户连接，判断是否为手机端问题；
4. 联系管理员：若上述无效，请提供详细错误信息给IT部门，包括设备型号、操作系统版本、使用的协议类型；
5. 临时替代方案：若紧急需求，可考虑使用Web VPN门户或SSL-VPN方式登录，绕过传统认证流程。

错误691虽看似简单,实则涉及身份认证、权限控制、协议兼容等多个层面，作为一名网络工程师，我们不仅要能快速定位问题，更要教会用户如何自助排查，掌握这些知识，不仅能提升个人效率，也能减少对技术支持的依赖，真正实现“懂网络，用得稳”。