Gwall L2TP/IPsec 789, 720 neu 691: trwsiwch y cam cywir yn gyntaf

Mae Windows 11 yn adrodd rhif gwahanol ar gyfer pob cam o L2TP/IPsec, ac mae'r rhif hwnnw'n nodi cam yn hytrach na sgorio'r methiant. Mae 789 yn methu cyn bod cyswllt PPP, mae 720 yn methu wrth i'r cyswllt gael ei godi, ac mae 691 yn methu ar ôl i'r cyswllt godi ac i'r manylion mewngofnodi gael eu gwrthod. Y penderfyniad defnyddiol yw nid pa drwsiad sydd fwyaf poblogaidd; ond pa gam y mae'r cod yn profi eich bod wedi'i gyrraedd. Darllenwch hynny gyntaf, yna newidiwch un haen ym mhob cynnig fel bod y cod nesaf yn dal i ddweud rhywbeth wrthych.

Darllenwch y cod fel cam, nid fel rhestr o fethiannau

Mae cysylltiad L2TP yn croesi tair ffin mewn trefn sefydlog. Mae IKE yn negodi cymdeithion diogelwch dros UDP 500, mae tramwy NAT yn symud y traffig hwnnw i UDP 4500, a dim ond wedyn y mae twnnel L2TP yn cario sesiwn PPP sy'n dilysu'r defnyddiwr ac yn neilltuo cyfeiriad.

Dyna pam mae cod gwall sy'n newid yn dystiolaeth ddefnyddiol. Mae mynd o 789 i 720 yn golygu bod IPsec nawr yn negodi a bod y methiant wedi symud i osod y cyswllt. Mae mynd o 720 i 691 yn golygu bod y cyswllt wedi codi a bod y porth wedi gwrthod yr hunaniaeth. Os byddwch yn cymhwyso pump o drwsiadau ar unwaith, byddwch yn colli'r signal hwnnw ac ni allwch ddweud pa newid a weithiodd.

789: dewiswch rhwng y llwybr a'r polisi lleol

Mae cod 789 yn wall prosesu yn ystod y trafodaethau diogelwch cychwynnol. Ni chynhyrchodd IPsec gymdeithas ddefnyddiadwy erioed, felly nid yw'r cyfrif wedi'i brofi eto. Dechreuwch gyda'r llwybr a'r gyfrinach a rennir, nid gyda'r cyfrif.

Cadarnhewch fod UDP 500 a UDP 4500 yn cyrraedd y gweinydd a bod yr allwedd a rennir ymlaen llaw yn cyfateb fesul beit, gan gynnwys maint llythrennau a bylchau olaf. Os yw'r gweinydd y tu ôl i NAT, efallai y bydd angen y gwerth cofrestrfa dogfennol ar Windows hefyd. Defnyddiwch 1 pan fo'r gweinydd y tu ôl i NAT a 2 pan fo'r ddau ben felly, yna ailgychwynnwch oherwydd mae'r asiant polisi yn darllen y gwerth wrth gychwyn:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Mae'r trwsiad addasydd trymach yn perthyn i'r gangen arall. Mae tynnu'r ddyfais Wi-Fi a'r mini-byrth WAN, yna ailosod amcangyfrif am galedwedd, yn gyfiawn pan fo stac IPsec lleol ei hun wedi'i ddifrodi ac mae mathau eraill o VPN yn methu'r un ffordd. Mae'n ymdrech ofer pan fo dim ond un gweinydd L2TP yn methu tra bo pob llwybr rhwydwaith arall yn gweithio.

720: dewiswch rhwng yr addasydd hwn a chronfa'r gweinydd

Mae gwall 720 yn adrodd na ellid sefydlu'r cysylltiad â'r cyfrifiadur anghysbell, ac mae'n ymddangos ar ôl i IPsec lwyddo. Cyrhaeddodd y twnnel y pwynt o godi rhyngwyneb neu gael cyfeiriad, yna stopio. Mae hynny'n ei wneud yn gwestiwn addasydd lleol neu'n gwestiwn capasiti gweinydd.

Defnyddiwch radiws effaith i benderfynu. Mae un peiriant Windows yn methu yn tynnu sylw at mini-borth WAN drwg, gwasanaeth Remote Access wedi stopio neu broffil cysylltiad llygredig. Mae sawl cleient yn methu ar yr un pryd yn tynnu sylw at y gweinydd: cronfa gyfeiriadau wedi'i disbyddu, gwasanaeth RRAS wedi stopio neu gronfa nad yw'n cyfateb i isrwyd y cleient mwyach. Trwsiwch yr ochr y mae'r patrwm yn ei awgrymu cyn newid y llall.

Ar y gangen un cleient, tynnwch y mini-byrth WAN unwaith a sganiwch am newidiadau caledwedd, yna ailgychwynnwch a cheisio eto. Ar gangen y gweinydd, gwiriwch y gronfa a chyflwr y gwasanaeth yn hytrach na'r cleient, oherwydd ni all ailosod addasydd sy'n gweithio greu cyfeiriad nad yw'r gweinydd yn ei feddu.

691: dewiswch rhwng y manylyn mewngofnodi a chynorthwyydd wedi stopio

Mae cod 691 yn wrthodiad dilysu, a dyma'r cod sy'n cael ei gamddarllen amlaf fel cyfrinair anghywir. Mae'r twnnel i fyny, mae'r porth wedi gweld hunaniaeth, ac mae wedi gwrthod yr hunaniaeth. Gall yr achos fod y tu allan i'r maes cyfrinair o hyd.

Gwiriwch y maes parth yn gyntaf, yna'r union nodau yn y cyfrinair. Gall cyfrinair sy'n cynnwys bwlch, dyfynbris neu nod arbennig cragen gael ei lygru cyn iddo gyrraedd y gweinydd; ar Linux, pppd yn adrodd yr un gwrthodiad â E=691 ar gyfer gwerth heb ddyfynbris neu barth coll. Ail deipiwch y gyfrinach yn lle ei gludo, a chliriwch unrhyw fanylyn mewngofnodi wedi'i gadw a allai ddal gwerth hŷn.

Y gangen y mae pobl yn ei cholli yw gwasanaeth cynorthwyol wedi stopio. Pan fo cleient gwerthwr yn dibynnu ar ei wasanaeth ei hun i basio manylion mewngofnodi i'r porth, mae gwasanaeth anabl neu wedi chwalu yn cynhyrchu 691 hyd yn oed pan fo'r cyfrinair yn gywir. Gwiriwch gyflwr gwasanaeth y gwerthwr cyn ailosod y cyfrif, yn enwedig ar ôl ailgychwyn neu ddiweddariad.

I wahanu'r canghennau, profwch yr un enw defnyddiwr yn erbyn proffil VPN arall sy'n gweithio neu gyfrif prawf RADIUS. Os yw hynny'n llwyddo, mae'r manylyn mewngofnodi'n iawn ac mae llwybr y cleient lleol dan amheuaeth. Os yw'n methu'r un ffordd, y cyfrif neu bolisi'r porth yw'r broblem.

Newidiwch un haen ym mhob cynnig

Gweithiwch o'r tu allan i mewn: cyrhaeddedd a thramwy NAT, yna'r allwedd a rennir ymlaen llaw, yna stac yr addasydd lleol, yna'r manylyn mewngofnodi, yna cronfa'r gweinydd a'r gwasanaethau. Mae'r drefn hon yn dilyn y camau y mae'r codau'n eu disgrifio ac yn cadw pob canlyniad yn briodoladwy i un newid.

Cadwch gofnod byr o'r cod cyn ac ar ôl pob cynnig, fersiwn y cleient, ac a newidiwyd y gweinydd neu'r cleient. Mae dilyniant fel 789, yna 720, yna 691 yn fap o gynnydd; mae'r un cod ddwywaith yn golygu na wnaeth y newid olaf fynd i'r afael â'r cam hwnnw. Mae ailosod Windows yn dileu'r map hwn ac yn anaml yn trwsio methiant sy'n byw yn y porth.

Pan fo'r cod yn stopio newid, stopiwch newid pethau. Cofnodwch y cod presennol, cyfeiriad y gweinydd, y dull dilysu ac amser y cynnig, yna cymharwch y cofnod hwnnw â chleient sy'n gweithio. Mae'r gwahaniaeth rhwng y ddau gofnod fel arfer yn llai na'r rhestr o drwsiadau y mae pobl yn eu rhoi ar brawf yn ddiofyn.