Error de VPN 10051: la ruta, no la contrasenya

Un túnel de Windows falla i el registre ofereix el número 10051. Això és WSAENETUNREACH, que es notifica quan una operació de sòcol no troba cap camí utilitzable cap a la destinació. No és una contrasenya rebutjada, un certificat caducat ni la prova que el servidor hagi vist un paquet de túnel i l'hagi refusat.

Dues operacions diferents poden produir-lo en una mateixa sessió. Signifiquen coses diferents i pertanyen a propietaris diferents.

Què informa el codi i què no

L'error descriu una decisió local: la pila no ha pogut trobar una ruta cap a la destinació sol·licitada, així que l'operació no ha sortit mai de la màquina. És una afirmació sobre el camí, no sobre l'opinió de l'altra part dels vostres credencials. Llegir-lo com un error d'autenticació us envia a magatzems de certificats i a restablir comptes per un problema que no poden causar. El codi tampoc diu res sobre si un tallafoc més avall hauria permès el paquet, perquè no s'ha enviat cap paquet.

Conserveu les línies de registre del voltant quan l'anoteu. El número sol perd la destinació, el transport i el moment, i aquests tres fets són el que fa que l'entrada sigui interpretable una setmana després.

Quina operació ha fallat i quan

Un error mentre el client busca el punt final exterior de la VPN és un cas diferent d'una fallada d'aplicació després d'establir el túnel. En el primer, el camí de transport cap al servidor falta o ha estat retirat. En el segon, el túnel existeix i alguna cosa dins seu no pot resoldre o encaminar la destinació que heu demanat. Mateix codi, capa diferent, propietari diferent. La marca de temps relativa a l'intent de connexió normalment decideix quin teniu.

Citeu l'operació que ha fallat i no només l'error: connexió a quina adreça, per quin transport i en quin punt de la seqüència. Aquesta formulació és la que permet a una segona persona reproduir la decisió.

Compareu el punt final i la família d'adreces

Anoteu la destinació resolta, el transport i el port. Si el nom retorna tant una adreça IPv4 com una IPv6, una comprovació IPv4 que funciona no explica res sobre un intent IPv6 fallit. És possible que el client provi la família que mai no heu testat, i forçar l'altra família canvia l'experiment en lloc de corregir-lo.

Resolve-DnsName vpn.example.net -Type A,AAAA
Find-NetRoute -RemoteIPAddress 198.51.100.62
Get-NetConnectionProfile

La consulta de ruta retorna la millor adreça local i la ruta per a aquesta destinació en l'estat actual, així que executeu-la mentre la fallada és present. Un adaptador desconnectat, una xarxa canviada o una ruta inesperada es veuen diferents després que tot s'hagi restablert. Un segon túnel actiu també pot capturar el camí del punt final, cosa que produeix aquest codi per a un client i no per a l'altre.

Recordeu què és una resposta de ruta: una decisió local, no un permís per enviar. No us pot dir si un tallafoc acceptaria el datagrama ni si hi ha alguna cosa escoltant a l'extrem llunyà.

Altres errors de sòcol i el traspàs

L'error 10054 és un informe diferent, i en una recepció UDP pot mostrar un ICMP de port inabastable associat a un enviament anterior. És un missatge sobre un port de destinació concret, no una afirmació que no existeixi cap ruta, i els dos porten a investigacions diferents. Tractar cada número de sòcol com una variació de connexió fallida és com una ruta que falta es 'repara' reinstal·lant un client.

El traspàs útil conté el codi exacte, l'operació fallida, el punt final i la família d'adreces, la ruta seleccionada i l'hora de qualsevol canvi de xarxa. Corregiu el problema de camí demostrat a través de qui posseeix aquesta configuració. Substituir certificats o desactivar la verificació de l'altra part no poden proporcionar una ruta que no existeix, i totes dues fan més difícil el diagnòstic final.