Памылка L2TP/IPsec 789, 720 ці 691: спачатку выпраўце правільны этап

Windows 11 паказвае іншы нумар для кожнага этапу L2TP/IPsec, і гэты нумар пазначае этап, а не ацэньвае збой. 789 ўзнікае да таго, як злучэнне PPP існуе, 720 ўзнікае, пакуль злучэнне ўзнімаецца, а 691 ўзнікае пасля таго, як злучэнне ўзнялося і ўліковыя даныя адхілены. Карыснае рашэнне — не тое, якое выпраўленне самае папулярнае; а тое, які этап код даказвае, што вы дасягнулі. Прачытайце гэта першым, затым змяняйце адзін пласт за спробу, каб наступны код яшчэ нешта вам сказаў.

Чытайце код як этап, а не як спіс непаладак

Злучэнне L2TP перасякае тры межы ў фіксаваным парадку. IKE дамаўляецца пра асацыяцыі бяспекі праз UDP 500, абыход NAT пераносіць гэты трафік на UDP 4500, і толькі пасля гэтага тунель L2TP нясе сесію PPP, якая аўтэнтыфікуе карыстальніка і прызначае адрас.

Менавіта гэты парадак робіць зменлівы код памылкі карысным доказам. Пераход з 789 на 720 значыць, што IPsec цяпер дамаўляецца, а збой перамясціўся да ўсталявання злучэння. Пераход з 720 на 691 значыць, што злучэнне ўзнялося і шлюз адхіліў ідэнтычнасць. Калі прымяніць пяць выпраўленняў адначасова, вы страціце гэты сігнал і не зможаце вызначыць, якое змяненне спрацавала.

789: выберыце паміж шляхам і лакальнай палітыкай

Код 789 — гэта памылка апрацоўкі падчас пачатковых перамоваў аб бяспецы. IPsec так і не стварыў прыдатную асацыяцыю, таму ўліковы запіс яшчэ не правяраўся. Пачынайце са шляху і агульнага ключа, а не з уліковага запісу.

Пераканайцеся, што UDP 500 і UDP 4500 дасягаюць сервера і што папярэдне агульны ключ супадае байт у байт, уключаючы рэгістр і канчатковыя прабелы. Калі сервер знаходзіцца за NAT, Windows можа таксама спатрэбіцца дакументаванае значэнне рэестра. Выкарыстоўвайце 1, калі сервер за NAT, і 2, калі абодва бакі за NAT, затым перазагрузіцеся, бо агент палітыкі чытае значэнне пры запуску:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Цяжэйшы рамонт адаптара належыць іншай галіне. Выдаленне прылады Wi-Fi і міні-партоў WAN, а затым паўторнае сканаванне абсталявання апраўдана, калі сам лакальны стэк IPsec пашкоджаны і іншыя тыпы VPN не ўдаюцца гэтак жа. Гэта марная праца, калі не ўдаецца толькі адзін сервер L2TP, а ўсе іншыя сеткавыя шляхі працуюць.

720: выберыце паміж гэтым адаптарам і пулам сервераў

Памылка 720 паведамляе, што злучэнне з аддаленым камп'ютарам не ўдалося ўсталяваць, і з'яўляецца пасля паспяховага IPsec. Тунель дасягнуў моманту ўзняцця інтэрфейсу або атрымання адраса, а затым спыніўся. Гэта робіць яе пытаннем лакальнага адаптара або пытаннем магутнасці сервера.

Выкарыстоўвайце радыус уздзеяння для рашэння. Няўдача аднаго камп'ютара Windows паказвае на дрэнны міні-порт WAN, спыненыя службы Remote Access або пашкоджаны профіль злучэння. Няўдача некалькіх кліентаў адначасова паказвае на сервер: вычарпаны пул адрасоў, спыненая служба RRAS або пул, які больш не адпавядае падсетцы кліента. Выпраўце той бок, на які паказвае ўзор, перад змяненнем іншага.

У галіне аднаго кліента выдаліце міні-парты WAN адзін раз і прасканаванне змяненняў абсталявання, затым перазагрузіцеся і паўтарыце спробу. У галіне сервера праверце пул і стан службы, а не кліента, бо пераўсталяванне працаздольнага адаптара не можа стварыць адрас, якога ў сервера няма.

691: выберыце паміж уліковымі данымі і спыненым памочнікам

Код 691 — гэта адхіленне аўтэнтыфікацыі, і гэта код, які найчасцей памылкова чытаюць як няправільны пароль. Тунель узняты, шлюз убачыў ідэнтычнасць і адхіліў яе. Прычына ўсё яшчэ можа быць па-за полем пароля.

Спачатку праверце поле дамена, затым дакладныя сімвалы ў паролі. Пароль, які змяшчае прабел, двукоссе або спецыяльны сімвал абалонкі, можа быць скажоны перш чым дасягнуць сервера; у Linux, pppd паведамляе пра тое ж адхіленне як E=691 для значэння без двукоссяў або адсутнага дамена. Увядзіце сакрэт зноў, а не ўстаўляйце яго, і ачысціце любыя захаваныя ўліковыя даныя, якія могуць утрымліваць старое значэнне.

Галіна, якую людзі прапускаюць, — гэта спыненая дапаможная служба. Калі кліент пастаўшчыка залежыць ад уласнай службы для перадачы ўліковых даных шлюзу, адключаная або абваленая служба выдае 691, нават калі пароль правільны. Праверце стан службы пастаўшчыка перад скідам уліковага запісу, асабліва пасля перазагрузкі або абнаўлення.

Каб аддзяліць галіны, праверце тое ж імя карыстальніка на іншым працоўным профілі VPN або тэставым уліковым запісе RADIUS. Калі гэта ўдаецца, уліковыя даныя ў парадку, а лакальны шлях кліента падазроны. Калі гэта не ўдаецца гэтак жа, праблема ва ўліковым запісе або палітыцы шлюза.

Змяняйце адзін пласт за спробу

Працуйце звонку ўнутр: дасяжнасць і абыход NAT, затым папярэдне агульны ключ, затым лакальны стэк адаптара, затым уліковыя даныя, затым пул сервераў і службы. Гэты парадак адпавядае этапам, якія апісваюць коды, і захоўвае кожны вынік прыпісаным да аднаго змянення.

Вядзіце кароткі журнал кода да і пасля кожнай спробы, зборкі кліента і таго, што змянілася — сервер ці кліент. Паслядоўнасць накшталт 789, затым 720, затым 691 — гэта карта прагрэсу; аднолькавы код двойчы азначае, што апошняе змяненне не закранула гэты этап. Пераўсталёўка Windows сцірае гэтую карту і рэдка выпраўляе збой, які жыве на шлюзе.

Калі код перастае змяняцца, перастаньце змяняць рэчы. Зафіксуйце бягучы код, адрас сервера, метад аўтэнтыфікацыі і час спробы, затым параўнайце гэты запіс з кліентам, які працуе. Розніца паміж двума запісамі звычайна меншая за спіс выпраўленняў, якія людзі спрабуюць па змаўчанні.