Chyba L2TP/IPsec 789, 720 nebo 691: opravte nejprve správnou fázi

Windows 11 hlásí jiné číslo pro každou fázi L2TP/IPsec a toto číslo označuje fázi, nehodnotí selhání. 789 selhává dřív, než existuje spojení PPP, 720 selhává během sestavování spojení a 691 selhává poté, co spojení stojí a přihlašovací údaje jsou odmítnuty. Užitečné rozhodnutí není, která oprava je nejoblíbenější; ale kterou fázi kód dokazuje, že jste dosáhli. Přečtěte si to nejdřív, pak měňte jednu vrstvu na pokus, aby vám další kód ještě něco sdělil.

Čtěte kód jako fázi, ne jako seznam závad

Připojení L2TP prochází třemi hranicemi v pevném pořadí. IKE vyjednává bezpečnostní asociace přes UDP 500, průchod NAT přesouvá tento provoz na UDP 4500 a teprve potom tunel L2TP nese relaci PPP, která ověřuje uživatele a přiděluje adresu.

Právě toto pořadí dělá z měnícího se kódu chyby užitečný důkaz. Přechod z 789 na 720 znamená, že IPsec už vyjednává a selhání se přesunulo k sestavení spojení. Přechod z 720 na 691 znamená, že spojení se zvedlo a brána odmítla identitu. Pokud použijete pět oprav najednou, ztratíte tento signál a nemůžete říct, která změna zabrala.

789: vyberte mezi cestou a místní politikou

Kód 789 je chyba zpracování během počátečního vyjednávání zabezpečení. IPsec nikdy nevytvořil použitelnou asociaci, takže účet ještě nebyl otestován. Začněte cestou a sdíleným klíčem, ne účtem.

Ověřte, že UDP 500 a UDP 4500 dosáhnou na server a že předem sdílený klíč odpovídá bajt po bajtu, včetně velikosti písmen a koncových mezer. Pokud je server za NAT, Windows může také potřebovat zdokumentovanou hodnotu registru. Použijte 1, když je server za NAT, a 2, když jsou za NAT obě strany, poté restartujte, protože agent zásad čte hodnotu při spuštění:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Těžší oprava adaptéru patří do druhé větve. Odebrání zařízení Wi-Fi a mini portů WAN a následné skenování hardwaru je opodstatněné, když je samotný místní zásobník IPsec poškozen a jiné typy VPN selhávají stejně. Je to zbytečné úsilí, když selhává jen jeden server L2TP a všechny ostatní síťové cesty fungují.

720: vyberte mezi tímto adaptérem a fondem serverů

Chyba 720 hlásí, že připojení ke vzdálenému počítači nelze navázat, a objevuje se poté, co IPsec uspěl. Tunel se dostal do bodu zvednutí rozhraní nebo získání adresy a pak se zastavil. To z něj dělá otázku místního adaptéru nebo kapacity serveru.

K rozhodnutí použijte radius dopadu. Selhání jednoho počítače s Windows ukazuje na vadný mini port WAN, zastavenou službu Remote Access nebo poškozený profil připojení. Selhání několika klientů najednou ukazuje na server: vyčerpaný fond adres, zastavenou službu RRAS nebo fond, který už neodpovídá podsíti klientů. Opravte tu stranu, na kterou vzor ukazuje, dřív než tu druhou.

Ve větvi jednoho klienta jednou odeberte mini porty WAN a proskenujte změny hardwaru, poté restartujte a zkuste to znovu. Ve větvi serveru zkontrolujte fond a stav služby, ne klienta, protože přeinstalace funkčního adaptéru nemůže vytvořit adresu, kterou server nemá.

691: vyberte mezi přihlašovacím údajem a zastaveným pomocníkem

Kód 691 je odmítnutí ověření a je to kód, který se nejčastěji chybně čte jako špatné heslo. Tunel stojí, brána viděla identitu a identitu odmítla. Příčina může stále být mimo pole hesla.

Nejprve zkontrolujte pole domény, poté přesné znaky v hesle. Heslo obsahující mezeru, uvozovku nebo znak speciální pro shell se může poškodit, než dorazí na server; v Linuxu pppd hlásí stejné odmítnutí jako E=691 pro hodnotu bez uvozovek nebo chybějící doménu. Tajemství napište znovu místo vložení a vymažte všechny uložené přihlašovací údaje, které mohou obsahovat starší hodnotu.

Větev, kterou lidé přehlížejí, je zastavená pomocná služba. Když klientský program dodavatele závisí na vlastní službě, která předává přihlašovací údaje bráně, deaktivovaná nebo spadlá služba vytváří 691, i když je heslo správné. Zkontrolujte stav služby dodavatele dřív, než resetujete účet, zvláště po restartu nebo aktualizaci.

Chcete-li větve oddělit, otestujte stejné uživatelské jméno na jiném funkčním profilu VPN nebo na testovacím účtu RADIUS. Pokud to uspěje, přihlašovací údaj je v pořádku a místní cesta klienta je podezřelá. Pokud to selže stejně, problém je v účtu nebo v politice brány.

Měňte jednu vrstvu na pokus

Pracujte zvenčí dovnitř: dostupnost a průchod NAT, poté předem sdílený klíč, poté místní zásobník adaptéru, poté přihlašovací údaj, poté fond serverů a služby. Toto pořadí sleduje fáze, které kódy popisují, a udržuje každý výsledek přiřaditelný jedné změně.

Veďte krátký záznam kódu před každým pokusem a po něm, sestavení klienta a toho, zda byl změněn server nebo klient. Posloupnost jako 789, pak 720, pak 691 je mapa pokroku; stejný kód dvakrát znamená, že poslední změna tuto fázi neřešila. Přeinstalace Windows tuto mapu smaže a zřídka opraví selhání, které žije na bráně.

Když se kód přestane měnit, přestaňte měnit věci. Zachyťte aktuální kód, adresu serveru, metodu ověření a čas pokusu, poté tento záznam porovnejte s klientem, který funguje. Rozdíl mezi oběma záznamy je obvykle menší než seznam oprav, které lidé zkoušejí ve výchozím nastavení.