Windows VPN не падключаецца? Супастаўце код з журналам падзей

У пятніцу гэта працавала. У панядзелак той жа кліент Windows адказвае дыялогам, які кажа, што спроба злучэння не ўдалася, а сказ пад ім — той, які вы ўжо бачылі для тузіна незвязаных праблем. Гэты дыялог — канец ланцуга, а не яго пачатак. Windows хавае этап, на якім спроба сапраўды памерла, і два маленькія сведчанні называюць яго: лікавы код выніку і адна падзея RasClient з той самай хвіліны. Вось парадак, які я выкарыстоўваю — зафіксуйце спробу, прачытайце код, выцягніце падзею, затым змяніце роўна адзін узровень.

Тэкст дыялогу — апошні крок, а не прычына

Сказ, які вы чытаеце, выбіраецца пасля таго, як спроба ўжо разгарнулася. "Злучэнне было спынена аддаленым камп'ютарам да таго, як злучэнне было ўсталявана" з'яўляецца, калі сервер паклаў трубку пасярод перамоваў, калі IPsec не ўдаўся да таго, як ваша імя карыстальніка было адпраўлена, і калі палітыка цалкам адмовіла ў тунелі. Тры розныя ўладальнікі, адзін сказ. Стаўцеся да фармулёўкі як да класа сімптомаў і не дазваляйце ёй нічым кіраваць, пакуль код з ёй не пагодзіцца.

Што вы яшчэ можаце зафіксаваць — гэта сама спроба. Запішыце назву злучэння, тып тунеля, захаваны ў профілі — PPTP, L2TP/IPsec, SSTP або IKEv2 — час да секунды і код. Калі вы не ўпэўнены, які пратакол сапраўды працаваў, адкрыйце %APPDATA%\Microsoft\Network\Connections\Pbk\rasphone.pbk і прачытайце запіс замест таго, каб давяраць памяці; профіль, паўторна выкарыстаны для новага пратакола, захоўвае сваю старую назву.

Прачытайце лік перад тым, як чытаць словы

Коды падзяляюцца на тры этапы, і этап важнейшы за дакладную фармулёўку: абмен аўтэнтыфікацыі, да якога дайшлі і які адхілілі, сервер, які ніколі не адказаў, або перамовы, якія разваліліся пасля ўзняцця злучэння. 691 — гэта першы від: праверка ўліковых даных прайшла і не ўдалася, ці праз дрэнны пароль, ці праз заблакаваны або пратэрмінаваны ўліковы запіс, ці праз пратакол аўтэнтыфікацыі, які сервер не прымае. 812 — таксама адмова, але з сапраўднымі ўліковымі данымі: палітыка на серверы аддаленага доступу вырашыла супраць вас. Microsoft трымае кананічны спіс кодаў памылак камутаванага і VPN-злучэння, і варта прачытаць свой нумар там, перш чым шукаць тэкст паведамлення.

809 — процілеглы клас: нічога не вярнулася. Гэта праблема шляху — TCP 443 фільтруецца для SSTP, GRE заблакаваны для PPTP, UDP 500 і 4500 або ESP адкідаюцца для праходжання IPsec. Новы пароль не выправіць гэта, і свежы сертыфікат таксама. 720 азначае, што злучэнне ўзнялося, а PPP так і не скончыў перамовы, што паказвае на неадпаведнасць пратакола або сервер, які не змог прызначыць адрас. 789, або 13801 на IKEv2, — гэта ідэнтычнасць унутры IPsec: сертыфікат, суб'ект якога не супадае з назвай, на якую вы званкуеце, недавераны ланцуг або папярэдне агучаны ключ, які адрозніваецца паміж двума канцамі.

Выцягніце падзею RasClient за тую самую хвіліну

У Праглядзе падзей Windows Logs > Application з фільтрам па крыніцы RasClient — першае месца, куды глядзець. Апісанне Microsoft памылкі 720 паказвае на падзею 20227 у гэтым журнале. Той жа пастаўшчык выдае іншыя ідэнтыфікатары для іншых вынікаў, таму чытайце паведамленне і ўбудаваны код выніку, а не стаўцеся да ID як да дыягназу; агульны дыялог плюс 20227, які нясе 720, — ужо значна вузейшая гісторыя.

З PowerShell, не перабіраючы праз GUI:

Get-WinEvent -FilterHashtable @{
  LogName      = 'Application'
  ProviderName = 'RasClient'
  StartTime    = (Get-Date).AddMinutes(-15)
} | Format-List TimeCreated, Id, Message

Пусты вынік — гэта інфарматыўна. Звычайна гэта значыць, што набор не зайшоў дастаткова далёка, каб RAS нешта запісаў, або што праграма, якая не ўдалася, зусім не родны кліент — кліенты трэціх бакоў трымаюць уласную дыягностыку і часта нічога не пішуць у журнал Application. Праверце журнал пастаўшчыка, перш чым рабіць выснову, што рэгістрацыя падзей зламаная.

Пабудуйце адну шкалу часу замест купы падзей

Цыклы паўтораў ствараюць шум. Пяць аўтаматычных перапаўтораў пакідаюць кластар падзей, і спакуса — прачытаць іх як адну паслядоўнасць з адной прычынай. Гэта пяць асобных спробаў, і толькі некаторыя з іх дасягнулі сервера. Вазьміце акно ў дзве-тры хвіліны, адну назву злучэння і пералічыце кожную падзею з яе ўласным кодам, перш чым што-небудзь інтэрпрэтаваць.

Затым спытайце, дзе спроба спынілася. Калі шлюз або бэкэнд аўтэнтыфікацыі не трымае запісу для гэтай адзнакі часу, кліент ніколі не дасягнуў яго, і вы глядзіце на праблему дасяжнасці. Калі бэкэнд паказвае запыт і адмову, рашэнне было прынята там, і прымяняецца клас уліковых даных або палітыкі. Параўнайце гадзіннікі, перш чым параўноўваць часы: кліенты паведамляюць мясцовы час, многія шлюзы запісваюць UTC, і зрух прымусіць ідэальна карэляваную пару выглядаць незвязанай.

Для паўтаральнага захопу набярыце з каманднага радка і дайце яму надрукаваць вынік:

rasdial "Office VPN"
rasdial "Office VPN" /disconnect

Кансоль паказвае нумар, які GUI хавае за дружалюбным тэкстам, і запуск двойчы скажа вам, ці код стабільны, ці перамежны.

Што кожны этап кажа вам змяніць

Называнне этапу карыснае, толькі калі яно звужае набор змен да аднаго ўзроўню:

• 691 — аўтэнтыфікацыя: метад EAP, які прапануе кліент, супраць таго, які прымае сервер, стан уліковага запісу, тэрмін дзеяння пароля, дазвол на камутаваны доступ.
• 812 — палітыка сервера: палітыка аддаленага доступу або правіла NPS, якое адпавядае гэтаму карыстальніку і гэтаму акну часу.
• 809 — дасяжнасць: правілы міжсеткавага экрана на шляху, NAT і праходжанне пратакола, порт, які патрабуе выбраны тып тунеля.
• 720 — перамовы PPP: неадпаведнасць пратакола аўтэнтыфікацыі, прызначэнне адраса, налада PPP на баку сервера.
• 789 / 13801 — ідэнтычнасць IPsec: суб'ект сертыфіката супраць назвы, на якую вы званкуеце, ланцуг даверу, папярэдне агучаны ключ.

Змяніце адно з гэтага, пераправерце той жа профіль і запішыце новы код. Іншы код пасля змены — гэта прагрэс, а не супярэчнасць: вы перамясцілі збой на больш позні этап, і менавіта так выглядае выпраўленне шмататапнага рукапаціскання. Чаго рабіць не варта — змяняць міжсеткавы экран, сертыфікат і пароль за адзін сеанс, а потым аддаваць заслугу таму, што прыйшоў апошнім.

Дзяліцеся сведчаннямі, а не асяроддзем

Паведамленні падзей багацейшыя, чым выглядаюць. Яны нясуць назву злучэння, уліковы запіс, часта ўнутраную назву або адрас шлюза, а часам адбітак сертыфіката. Трымайце арыгінал там, дзе яму месца, і пабудуйце асобную адрэдагаваную копію для кагосьці іншага; перадрукоўванне шкалы часу з памяці губляе менавіта тыя дэталі, якія робяць яе карыснай.

Перадача, якая будзе апрацавана, патрабуе пяць палёў: код, этап, да якога ён належыць, кліент і тып тунеля, адзнака часу з яе часовым поясам і ці бачыў шлюз запыт наогул. Усё астатняе неабавязкова. З гэтымі пяццю наступны чалавек зможа адрозніць спрэчку аб уліковых даных ад спрэчкі аб маршрутызацыі, не паўтараючы расследаванне.

Перш чым што-небудзь закрыць, паўтарыце спробу на тым жа профілі і пацвердзіце, дзе код апынуўся цяпер. Поспех завяршае справу; іншы збой азначае, што першапачатковы этап выпраўлены і наступны ў вас у руках.