Error L2TP/IPsec 789, 720 o 691: arregla primer l'etapa correcta

Windows 11 mostra un número diferent per a cada etapa de L2TP/IPsec, i aquest número assenyala una etapa en lloc de puntuar la fallada. El 789 falla abans que existeixi l'enllaç PPP, el 720 falla mentre es puja l'enllaç, i el 691 falla després que l'enllaç estigui a dalt i es rebutgin les credencials. La decisió útil no és quina correcció és més popular; és quina etapa demostra el codi que has assolit. Llegeix això primer, i després canvia una capa per intent perquè el codi següent encara t'expliqui alguna cosa.

Llegeix el codi com una etapa, no com una llista d'avaries

Una connexió L2TP travessa tres fronteres en un ordre fix. IKE negocia associacions de seguretat per UDP 500, el travessament NAT mou aquest trànsit a UDP 4500, i només llavors el túnel L2TP porta una sessió PPP que autentica l'usuari i assigna una adreça.

Aquest ordre és la raó per la qual un codi d'error canviant és una evidència útil. Passar del 789 al 720 significa que IPsec ja negocia i que la fallada s'ha mogut a la configuració de l'enllaç. Passar del 720 al 691 significa que l'enllaç s'ha aixecat i que la passarel·la ha rebutjat la identitat. Si apliques cinc correccions alhora, perds aquest senyal i no pots saber quina canvi ha funcionat.

789: tria entre el camí i la política local

El codi 789 és un error de processament durant les negociacions de seguretat inicials. IPsec mai no va produir una associació utilitzable, així que el compte encara no s'ha provat. Comença pel camí i el secret compartit, no pel compte.

Confirma que UDP 500 i UDP 4500 arriben al servidor i que la clau prèviament compartida coincideix byte a byte, incloent-hi majúscules i espais finals. Si el servidor és darrere de NAT, Windows també pot necessitar el valor de registre documentat. Utilitza 1 quan el servidor és darrere de NAT i 2 quan ho són tots dos extrems, i després reinicia perquè l'agent de política llegeix el valor en arrencar:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

La reparació més pesada de l'adaptador pertany a l'altra branca. Treure el dispositiu Wi-Fi i els mini-ports WAN, i després tornar a escanejar el maquinari, es justifica quan la pila IPsec local està danyada i altres tipus de VPN fallen de la mateixa manera. És un esforç malgastat quan només falla un servidor L2TP mentre tota la resta de camins de xarxa funcionen.

720: tria entre aquest adaptador i el conjunt de servidors

L'error 720 informa que la connexió a l'ordinador remot no s'ha pogut establir, i apareix després que IPsec hagi tingut èxit. El túnel va arribar al punt de pujar una interfície o obtenir una adreça, i després es va aturar. Això el converteix en una qüestió d'adaptador local o de capacitat del servidor.

Utilitza el radi d'impacte per decidir. Que falli una màquina Windows apunta a un mini-port WAN dolent, un servei Remote Access aturat o un perfil de connexió corrupte. Que fallin diversos clients alhora apunta al servidor: un conjunt d'adreces esgotat, un servei RRAS aturat o un conjunt que ja no coincideix amb la subxarxa dels clients. Arregla el costat que assenyala el patró abans de canviar l'altre.

A la branca d'un sol client, treu els mini-ports WAN una vegada i escaneja els canvis de maquinari, i després reinicia i torna-ho a provar. A la branca del servidor, comprova el conjunt i l'estat del servei més que el client, perquè reinstal·lar un adaptador que funciona no pot crear una adreça que el servidor no té.

691: tria entre la credencial i un ajudant aturat

El codi 691 és un rebuig d'autenticació, i és el codi que més sovint es llegeix malament com una contrasenya incorrecta. El túnel està a dalt, la passarel·la ha vist una identitat, i l'ha rebutjat. La causa encara pot ser fora del camp de la contrasenya.

Comprova primer el camp de domini, després els caràcters exactes de la contrasenya. Una contrasenya que contingui un espai, una cometa o un caràcter especial de l'intèrpret pot quedar malmesa abans d'arribar al servidor; a Linux, pppd informa del mateix rebuig que E=691 per a un valor sense cometes o un domini que falta. Torna a escriure el secret en lloc d'enganxar-lo, i esborra qualsevol credencial desada que pugui contenir un valor antic.

La branca que la gent no veu és un servei auxiliar aturat. Quan un client de proveïdor depèn del seu propi servei per passar credencials a la passarel·la, un servei desactivat o bloquejat produeix 691 encara que la contrasenya sigui correcta. Comprova l'estat del servei del proveïdor abans de reiniciar el compte, sobretot després d'un reinici o una actualització.

Per separar les branques, prova el mateix nom d'usuari amb un altre perfil VPN que funcioni o un compte de prova RADIUS. Si això té èxit, la credencial és bona i el camí del client local és sospitós. Si falla de la mateixa manera, el problema és el compte o la política de la passarel·la.

Canvia una capa per intent

Treballa de fora cap a dins: connectivitat i travessament NAT, després la clau prèviament compartida, després la pila de l'adaptador local, després la credencial, després el conjunt de servidors i serveis. Aquest ordre segueix les etapes que descriuen els codis i manté cada resultat atribuïble a un sol canvi.

Mantingues un registre breu del codi abans i després de cada intent, de la compilació del client i de si s'ha canviat el servidor o el client. Una seqüència com 789, després 720, després 691 és un mapa de progrés; el mateix codi dues vegades vol dir que l'últim canvi no ha adreçat aquella etapa. Reinstal·lar Windows esborra aquest mapa i poques vegades arregla una fallada que viu a la passarel·la.

Quan el codi deixa de canviar, deixa de canviar coses. Captura el codi actual, l'adreça del servidor, el mètode d'autenticació i l'hora de l'intent, i després compara aquest registre amb un client que funcioni. La diferència entre els dos registres sol ser més petita que la llista de correccions que la gent prova per defecte.