Сбой авторизации с кодом «Ошибка 691» (ERROR_AUTHENTICATION_FAILURE) при попытке установить PPPoE-соединение в сети ПАО «Ростелеком» означает, что сервер аутентификации (BRAS/RADIUS) отклонил передаваемые учетные данные пользователя. Основными причинами проблемы являются синтаксические ошибки при вводе логина и пароля, блокировка лицевого счета из-за дебиторской задолженности, зависшая сессия на стороне сервера доступа или несоответствие используемого протокола проверки подлинности. Ниже описан регламент диагностики сетевого стека и пошаговые методы устранения данной неисправности на роутерах и в ОС Windows.
Экспресс-диагностика первичного уровня
- Проверьте физическую индикацию на абонентском терминале ONT или роутере: светодиод PON/Auth должен гореть непрерывным зеленым цветом, индикатор LOS не должен гореть или мигать красным.
- Убедитесь в наличии линка на WAN-порту: индикатор соответствующего Ethernet-порта должен активную индикацию при подключенном кабеле провайдера.
- Проверьте текущий баланс лицевого счета через мобильное приложение или личный кабинет «Ростелеком» для исключения финансовой блокировки (Status: Disabled/Blocked).
- Перезагрузите оптический терминал (ONT) или роутер с полным обесточиванием на 10–15 минут для корректного завершения предыдущей RADIUS-сессии (Session-Timeout / Clean Active Session) на оборудовании BRAS.
- Проверьте физическое подключение витой пары: кабель «Ростелеком» должен быть вставлен строго в порт WAN (Internet), а не в порты LAN1–LAN4.
Пошаговый алгоритм устранения ошибки 691
- Сброс и повторная авторизация в Windows 10/11:Нажмите комбинацию клавиш Win + R, введите команду
ncpa.cplи нажмите Enter. В окне «Сетевые подключения» нажмите правой кнопкой мыши по созданному PPPoE-подключению и выберите «Свойства». Перейдите на вкладку «Параметры» и убедитесь, что снята галочка с пункта «Включать домен вход в Windows / Include Windows logon domain». Перейдите на вкладку «Безопасность», установите переключатель в положение «Разрешить эти протоколы» и отметьте флажками «Протокол незашифрованной проверки (PAP)» и «Протокол взаимной проверки подлинности (CHAP)». Нажмите «ОК», вызовите окно подключения и заново введите логин и пароль с соблюдением регистра букв. - Очистка кеша сетевых служб и сброс стека TCP/IP:Запустите командную строку от имени администратора (Win + X → «Терминал (Администратор)» или «Командная строка (Администратор)»). Последовательно выполните следующие команды:
netsh winsock resetnetsh int ip reset c:resetlog.txtipconfig /flushdnsПосле выполнения команд перезагрузите операционную систему.
- Конфигурация параметров PPPoE на роутерах Keenetic (KeeneticOS):Перейдите в веб-интерфейс по адресу
192.168.1.1. Откройте меню «Сетевые правила» → «Интернет» → вкладка «PPPoE/VPN» и нажмите «Добавить подключение». В поле «Тип (протокол)» выберите «PPPoE». В поле «Подключаться через» укажите «Ethernet-кабель (ISP)». В полях «Имя пользователя» и «Пароль» введите данные из договора «Ростелеком». В поле «Настройка IP» выберите «Автоматическая». В разделе «Проверка подлинности» установите «Автоматически». Нажмите «Сохранить». - Конфигурация параметров PPPoE на роутерах TP-Link:Перейдите в веб-интерфейс по адресу
192.168.0.1или192.168.1.1. Откройте «Дополнительные настройки» → «Сеть» → «Интернет». В выпадающем списке «Тип подключения к Интернет» выберите «PPPoE». Заполните поля «Имя пользователя» и «Пароль». Убедитесь, что параметр «Вторичное подключение» переведен в режим «Отключено». В пункте «Режим подключения» установите «Автоматически». Нажмите «Сохранить». - Конфигурация параметров PPPoE на прошивках OpenWrt (LuCI):Перейдите в веб-интерфейс по адресу
192.168.1.1. Откройте «Network» → «Interfaces» → найдите интерфейс «WAN» и нажмите «Edit». В строке «Protocol» выберите «PPPoE» и нажмите «Switch protocol». В появившихся полях «PAP/CHAP username» и «PAP/CHAP password» введите аутентификационные данные. В разделе «Advanced Settings» убедитесь, что отмечен пункт «Obtain IPv4 DNS servers automatically». Нажмите «Save & Apply».
Критически важно: Логин и пароль в договорах «Ростелеком» чувствительны к регистру символов (Case-Sensitive). Буквы «i» (строчная) и «I» (заглавная), «o» и цифра «0» часто вводятся ошибочно. Кроме того, в некоторых макрорегионах (МРФ) к логину требуется приписывать доменную суффиксную часть (например,
username@dsl.rt.ruилиusername@ppp.sibir).
Сводная таблица параметров, кодов ошибок и протоколов PPPoE
| Параметр / Код | Техническое описание | Значение / Корректная настройка |
|---|---|---|
Error 691 |
Access Rejected (RADIUS Code 3) | Неверный логин/пароль, задолженность, привязка MAC-адреса. |
Error 619 |
Port Disconnected / LCP Terminated | Невозможно установить связь с BRAS, заблокирован порт 1701/PPPoE. |
MTU / MRU |
Maximum Transmission Unit / Receive Unit | Установить строго 1492 (для исключения фрагментации кадров). |
Auth Protocols |
Протоколы авторизации PPP | PAP (Password Auth) и CHAP (Challenge Handshake). |
VLAN ID (802.1Q) |
Тегирование трафика на WAN | Зависит от региона Ростелеком (например, VLAN 10, 20, 100). |
Service Name |
Имя службы PPPoE (Access Concentrator) | Оставить пустым (не заполнять, если не указано провайдером). |
Нестандартные причины и альтернативные инженерные решения
1. Несоответствие MAC-адреса (Port Security / MAC Binding)
Серверы доступа BRAS в некоторых филиалах ПАО «Ростелеком» фиксируют MAC-адрес сетевого устройства (роутера или сетевой карты ПК), совершившего успешное первое подключение. При смене сетевой карты или установке нового роутера BRAS возвращает ошибку 691.
Для решения склонируйте MAC-адрес старого устройства на новый роутер:
- В KeeneticOS: «Сетевые правила» → «Интернет» → «Ethernet» → «Использовать MAC-адрес» → вписать MAC-адрес предыдущего устройства в формате
AA:BB:CC:DD:EE:FF. - В TP-Link: «Дополнительные настройки» → «Сеть» → «Интернет» → «Клонирование MAC-адреса» → выбрать «Использовать кастомный MAC-адрес».
Если старый MAC-адрес неизвестен, требуется обращение в техническую поддержку провайдера для выполнения процедуры сброса привязки (Reset Port Binding) в биллинговой системе.
2. Наличие 802.1Q VLAN Tagging в инфраструктуре PON/FTTB
В ряде регионов «Ростелеком» (в частности, МРФ «Урал» и МРФ «Центр») трафик интернет-авторизации PPPoE изолирован в отдельном VLAN. Если на WAN-интерфейсе роутера не указан правильный VLAN ID, запросы PADI/PADR не доходят до нужного сервера авторизации, либо возвращается ошибка 691.
Настройка тегирования в KeeneticOS: откройте «Сетевые правила» → «Интернет» → «VLAN-канал» → создайте соединение с указанием требуемого VLAN ID (уточняется у локального инженерного отдела провайдера) и привяжите к нему PPPoE-подключение.
3. Зависшая сессия на стороне RADIUS / BRAS (Stale Session)
При некорректном отключении роутера от сети (аварийное отключение питания, обрыв кабеля) сессия PPP на сервере BRAS может оставаться в статусе Active до истечения таймера LCP Keepalive (до 20–30 минут). При попытке повторного входа RADIUS-сервер отклоняет аутентификацию по причине превышения лимита одновременных подключений (Simultaneous-Use = 1).
Решение: полностью отключите сетевой кабель Ростелеком из WAN-порта или обесточьте роутер на 20 минут. За это время сервер BRAS сбросит неактивную сессию по таймауту LCP Echo.
4. Конфликты фильтров NDIS в операционной системе Windows
Стороннее ПО (антивирусы, VPN-клиенты, виртуальные сетевые адаптеры Hyper-V/VirtualBox) внедряет собственные NDIS-фильтры в сетевой стек Windows, что приводит к искажению структуры PPP-пакетов при передаче учетных данных.
Откройте Win + R → ncpa.cpl → нажмите правой кнопкой мыши по «Ethernet» (физический адаптер) → «Свойства». В списке компонентов отключите сторонние драйверы фильтрации (например, «Kaspersky Anti-Virus NDIS 6 Filter», «Npcap Loopback Adapter», «NordVPN Lightweight Firewall»). Нажмите «ОК» и повторите попытку подключения PPPoE.