Kodovi grešaka VPN-a u Windowsu: koja faza je pala i šta logovati

Otvorite dijalog VPN-a u Windowsu nakon neuspjeha i on vam daje broj i rečenicu, pri čemu je rečenica obično manje korisna polovina. Broj pokazuje koja faza veze nije uspjela, a faza određuje koji log, koju postavku i koji tim gledati dalje. Prolazak kroz faze po redu traje oko deset minuta i sprječava poznati slijed reinstalacije adaptera, mijenjanja protokola i resetovanja steka da bi se popravio račun kojem nikada nije bilo dopušteno da se poveže.

Čitajte broj kao fazu

Izvorna veza prolazi kroz četiri prekretnice. Ona stiže do servera i uspostavlja vezu, pregovara sigurnost, autentificira korisnika i primjenjuje adresiranje i usmjeravanje. Neuspjeh na svakoj od njih ostavlja različite dokaze, a kod koji pripada jednoj fazi ne govori ništa korisno o ostalima.

Greška koju treba izbjeći je tretiranje koda kao stepena ozbiljnosti. Neuspjeh veze i neuspjeh autorizacije oba se čitaju kao "nije se moglo povezati" i nemaju ništa zajedničko osim toga. Ozbiljnost govori koliko je nešto hitno; faza govori šta otvoriti.

Prva faza: veza i pokušaj povezivanja

829 znači da je osnovna veza prekinuta. Ne kaže je li udaljeni partner prestao odgovarati, je li posredni uređaj ubio sesiju ili je politika na klijentu zatvorila. Kod završetka povezivanja poput 703 je još raniji: pokušaj nikada nije došao do veze, što obično upućuje na profil, stanje usluge ili lokalnu politiku.

Get-VpnConnection -Name 'Corp' | Select-Object Name,ServerAddress,TunnelType,AuthenticationMethod,ConnectionStatus
Test-NetConnection -ComputerName vpn.example.net -Port 443
Get-WinEvent -LogName Application -MaxEvents 200 | Where-Object ProviderName -match 'RasClient' | Select-Object -First 15 TimeCreated,Id,Message

Upit događaja je dio koji ljudi preskaču. Zapis na strani klijenta s vremenskom oznakom i imenom sučelja vrijedi više od dijaloga, jer govori je li pokušaj uopće napustio mašinu. Nema zapisa i nema odgovora slušatelja znači problem dostupnosti, i nikakvo uređivanje klijenta to ne mijenja.

Ako isti profil radi na drugoj mreži, zaustavite se ovdje. Kod opisuje stanje puta, a ne grešku konfiguracije, i sljedeće korisno poređenje su dva snimka, a ne još jedna reinstalacija.

Druga faza: PPP i povezivanje miniporta

720 stoji između veze i korisnika. Tunel se podigao i tada PPP sloj nije mogao pregovarati adresu ili kontrolni protokol, što je često problem povezivanja na klijentu, a ne odbijena vjerodajnica. Ta razlika je cijela vrijednost koda: govori da vjerodajnica nikada nije dosegnuta, pa račun nije osumnjičeni.

Get-NetAdapter -IncludeHidden | Where-Object InterfaceDescription -match 'WAN Miniport' | Select-Object Name,Status,ifIndex
Get-NetAdapterBinding | Where-Object ComponentID -match 'ms_pptp|ms_l2tp|ms_sstp|ms_agile' | Select-Object Name,ComponentID,Enabled

Čitanje tih dvaju izlaza informativnije je od resetovanja bilo čega. Miniport koji postoji ali nije pokrenut, ili povezivanje protokola koje je onemogućio drugi softver, proizvodi točno neuspjeh ove faze. Oba se mogu popraviti bez diranja ostatka steka. Potpuni reset, nasuprot tome, uklanja adresiranje i stanje filtriranja koje nije imalo veze s kvarom.

Treća faza: identitet i autorizacija

691 znači da su vjerodajnice odbijene. 649 znači da računu nije dopušteno povezivanje, a 812 znači da je politika udaljenog pristupa odbila vezu. To su odluke, a ne transportni kvarovi, i klijent ih može samo prijaviti.

Dokazi su na drugoj strani. Pitajte operatera pristupnika za pokušaj u toj vremenskoj oznaci i politiku koja se poklopila; pitajte vlasnika direktorija ima li račun dopuštenje za povezivanje i je li u grupi koju politika zahtijeva. Promjena vrste tunela ili reinstalacija klijenta ne mogu promijeniti odluku donesenu o identitetu.

Korisna navika u ovoj fazi je upisati točan niz računa u tiket, uključujući svaki prefiks domene. Iznenađujuće mnogo slučajeva 691 su spremljene vjerodajnice za pogrešnu domenu, i to je vidljivo u nizu računa, a ne u postavkama protokola.

Četvrta faza: povezano, i ništa ne radi

Veza se može dovršiti i ostati beskorisna. Drži adresu, klijent prijavljuje uspjeh, a svaki zahtjev aplikacije istekne. Ništa u dijalogu to ne odražava i nema koda za provjeru. U tom trenutku dijalog je završen, a korisni dokazi su negdje drugdje.

Get-NetRoute -DestinationPrefix 10.24.0.0/16 | Select-Object DestinationPrefix,NextHop,InterfaceAlias
Resolve-DnsName files.corp.example.internal
Test-NetConnection -ComputerName 10.24.6.15 -Port 445

Ako ruta nedostaje, server ju nije poslao ili ju je klijent ispustio. Ako ruta postoji i ime ne uspijeva, problem je u razrješavanju. Ako oboje radi, a aplikacija i dalje ne uspijeva, prošli ste tunel i ušli u vlastitu konfiguraciju aplikacije.

Držite promjene na jednom sloju po testu. Svaka izmjena prije sljedećeg pokušaja postaje dio konteksta sljedećeg koda, a kod koji opisuje vašu posljednju izmjenu gori je od nikakvog koda.

Jedan pokušaj, jedna promjena, jedan zapis

Koja god faza bila, zapis treba sadržavati kod, poruku, naziv profila, vremensku oznaku i mrežu na kojoj ste bili. Pet polja, a svako od njih već je pred vama u dijalogu ili logu klijenta. Taj skup dovoljno je mali da se zalijepi u tiket i dovoljno konkretan da ga neko drugi reproducira.

Zatim stavite tu vremensku oznaku uz zapis na drugoj strani. Tabela pri vrhu ove stranice kaže koja faza posjeduje svako neslaganje. Bez drugog zapisa kod samo sužava pretragu; s njim je faza odlučena. Poređenje je ono što broj pretvara u dijagnozu, a ne u nagađanje.

Ta navika pokriva gotovo svaki izvorni kvar VPN-a u Windowsu, i nijedna grana ne zahtijeva reinstalaciju bilo čega. Dijalog vam je oduvijek govorio koji imate; posao je u odbijanju da ih sve tretirate kao isti problem.