Codau gwall VPN Windows: pa gam a fethodd, a beth i’w gofnodi

Agorwch ddeialog VPN Windows ar ôl methiant a bydd yn rhoi rhif a brawddeg i chi, ac fel arfer y frawddeg yw’r hanner llai defnyddiol. Mae’r rhif yn nodi pa gam o’r cysylltiad a fethodd, ac mae’r cam yn pennu pa log, pa osodiad a pha dîm i edrych arnynt nesaf. Mae mynd trwy’r camau yn eu trefn yn cymryd tua deg munud ac yn atal y dilyniant cyfarwydd o ailosod addaswyr, newid protocolau ac ailosod y stac i drwsio cyfrif na chaniatawyd iddo ddeialu erioed.

Darllenwch y rhif fel cam

Mae cysylltiad brodorol yn mynd trwy bedwar carreg filltir. Mae’n cyrraedd y gweinydd ac yn sefydlu dolen, yn trafod diogelwch, yn dilysu’r defnyddiwr, ac yn cymhwyso cyfeiriadu a llwybro. Mae methiant ym mhob un yn gadael tystiolaeth wahanol, ac nid yw cod sy’n perthyn i un cam yn dweud dim defnyddiol am y lleill.

Y camgymeriad i’w osgoi yw trin y cod fel graddfa difrifoldeb. Mae methiant dolen a methiant awdurdodiad ill dau yn darllen fel "methu cysylltu", ac nid oes ganddynt ddim yn gyffredin y tu hwnt i hynny. Mae difrifoldeb yn dweud pa mor frys yw rhywbeth; mae’r cam yn dweud beth i’w agor.

Cam un: y ddolen a’r ymgais i ddeialu

Mae 829 yn golygu bod y ddolen sylfaenol wedi torri. Nid yw’n dweud a yw’r cymar pell wedi stopio ateb, a yw blwch canol wedi lladd y sesiwn, neu a yw polisi ar y cleient wedi ei chau. Mae cod cwblhau deial fel 703 yn gynharach fyth: ni chyrhaeddodd yr ymgais ddigon pell i gael dolen, sy’n aml yn pwyntio at y proffil, cyflwr y gwasanaeth neu bolisi lleol.

Get-VpnConnection -Name 'Corp' | Select-Object Name,ServerAddress,TunnelType,AuthenticationMethod,ConnectionStatus
Test-NetConnection -ComputerName vpn.example.net -Port 443
Get-WinEvent -LogName Application -MaxEvents 200 | Where-Object ProviderName -match 'RasClient' | Select-Object -First 15 TimeCreated,Id,Message

Y cwestiwn digwyddiadau yw’r rhan y mae pobl yn ei hepgor. Mae cofnod ar ochr y cleient gyda stamp amser ac enw rhyngwyneb yn werth mwy na’r deialog, oherwydd mae’n dweud a adawodd yr ymgais y peiriant o gwbl. Dim cofnod a dim ymateb gan y gwrandäwr yw problem gyrraedd, ac nid yw unrhyw faint o olygu cleient yn newid hynny.

Os yw’r un proffil yn gweithio ar rwydwaith arall, stopiwch yma. Mae’r cod yn disgrifio cyflwr llwybr yn hytrach na gwall cyflunio, a’r gymhariaeth ddefnyddiol nesaf yw’r ddau gipiad yn hytrach nag ailosodiad arall.

Cam dau: PPP a rhwymiad y miniport

Mae 720 yn gorwedd rhwng y ddolen a’r defnyddiwr. Cododd y tiwnel ac yna ni allai haen PPP drafod cyfeiriad na phrotocol rheoli, sy’n aml yn broblem rhwymo ar y cleient yn hytrach na chredensial wedi’i gwrthod. Y gwahaniaeth hwnnw yw holl werth y cod: mae’n dweud na chyrhaeddwyd y credensial o gwbl, felly nid y cyfrif yw’r sawl a amheuir.

Get-NetAdapter -IncludeHidden | Where-Object InterfaceDescription -match 'WAN Miniport' | Select-Object Name,Status,ifIndex
Get-NetAdapterBinding | Where-Object ComponentID -match 'ms_pptp|ms_l2tp|ms_sstp|ms_agile' | Select-Object Name,ComponentID,Enabled

Mae darllen y ddau allbwn hynny yn fwy gwybodus nag ailosod unrhyw beth. Mae miniport sy’n bresennol ond heb gychwyn, neu rwymiad protocol sydd wedi’i analluogi gan feddalwedd arall, yn cynhyrchu methiant y cam hwn yn union. Mae’r ddau yn ddiogeladwy heb gyffwrdd â gweddill y stac. Mae ailosodiad llawn, yn wahanol, yn tynnu cyfeiriadu a chyflwr hidlo nad oedd ganddynt ddim i’w wneud â’r nam.

Cam tri: hunaniaeth ac awdurdodiad

Mae 691 yn golygu bod y credensialau wedi’u gwrthod. Mae 649 yn golygu nad oes gan y cyfrif ganiatâd i ddeialu, ac mae 812 yn golygu bod polisi mynediad pell wedi gwrthod y cysylltiad. Penderfyniadau yw’r rhain, nid namau cludo, a dim ond eu hadrodd y gall y cleient ei wneud.

Mae’r dystiolaeth ar yr ochr arall. Gofynnwch i weithredwr y porth am yr ymgais ar y stamp amser hwnnw a’r polisi a oedd yn cyfateb; gofynnwch i berchennog y cyfeiriadur a oes gan y cyfrif ganiatâd deialu ac a yw yn y grŵp y mae’r polisi yn ei ofyn. Nid yw newid math y tiwnel nac ailosod y cleient yn gallu newid penderfyniad a wnaed am hunaniaeth.

Arfer defnyddiol ar y cam hwn yw ysgrifennu’r union linyn cyfrif yn y tocyn, gan gynnwys unrhyw ragddodiad parth. Mae nifer syfrdanol o achosion 691 yn credensialau a gadwyd ar gyfer y parth anghywir, ac mae hynny’n weladwy yn llinyn y cyfrif yn hytrach nag yng ngosodiadau’r protocol.

Cam pedwar: wedi cysylltu, a dim yn gweithio

Gall cysylltiad gwblhau a bod yn ddiwerth o hyd. Mae’n dal cyfeiriad, mae’r cleient yn adrodd llwyddiant, ac mae pob cais a wna’r cymhwysiad yn amseru allan. Nid oes dim yn y deialog yn adlewyrchu hynny, ac nid oes cod i edrych amdano. Ar y pwynt hwnnw mae’r deialog ar ben a’r dystiolaeth ddefnyddiol yn rhywle arall.

Get-NetRoute -DestinationPrefix 10.24.0.0/16 | Select-Object DestinationPrefix,NextHop,InterfaceAlias
Resolve-DnsName files.corp.example.internal
Test-NetConnection -ComputerName 10.24.6.15 -Port 445

Os yw’r llwybr ar goll, ni wthiodd y gweinydd ef neu fe ollyngodd y cleient ef. Os yw’r llwybr yn bodoli ac mae’r enw’n methu, datrysiad yw’r broblem. Os yw’r ddau yn gweithio ac mae’r cymhwysiad yn methu o hyd, rydych wedi mynd heibio’r tiwnel ac i gyfluniad y cymhwysiad ei hun.

Cadwch y newidiadau i un haen y prawf. Daw pob golygiad a wnewch cyn yr ymgais nesaf yn rhan o gyd-destun y cod nesaf, ac mae cod sy’n disgrifio’ch golygiad diwethaf yn waeth na dim cod o gwbl.

Un ymgais, un newid, un cofnod

Beth bynnag yw’r cam, dylai’r cofnod gynnwys y cod, y neges, enw’r proffil, y stamp amser a’r rhwydwaith yr oeddech arno. Pump maes, ac mae pob un ohonynt eisoes o’ch blaen yn y deialog neu log y cleient. Mae’r set honno’n ddigon bach i’w gludo i docyn ac yn ddigon penodol i rywun arall ei atgynhyrchu.

Yna rhowch y stamp amser hwnnw wrth ymyl y cofnod ar yr ochr arall. Mae’r tabl ger brig y dudalen hon yn dweud pa gam sy’n berchen ar bob anghysondeb. Heb yr ail gofnod mae’r cod ond yn culhau’r chwilio; gydag ef mae’r cam yn cael ei benderfynu. Y gymhariaeth yw’r hyn sy’n troi rhif yn ddiagnosis yn hytrach na dyfaliad.

Mae’r arfer hwnnw’n cwmpasu bron pob nam brodorol VPN Windows, ac nid oes yr un o’r canghennau yn gofyn am ailosod unrhyw beth. Roedd y deialog bob amser yn dweud pa un oedd gennych; y gwaith yw gwrthod trin pob un ohonynt fel yr un broblem.