27850, 442 und 651: ein Stack, drei erste Prüfungen
Alle drei Fehler stammen aus dem Stack des virtuellen Adapters. Ordnen Sie die Nummer ihrer Ebene zu, prüfen Sie diese Ebene und installieren Sie erst nach der Bereinigung neu.
Das Setup bleibt bei 27850 stehen, eine Verbindung wird mit 442 abgelehnt, und ein anderes Profil liefert 651. Die Nummern wirken wie drei unabhängige Störungen, und die übliche Reaktion ist, den Client dreimal neu zu installieren. Sie kommen aber aus einem Teilsystem: dem virtuellen Adapter und dem Filter-Stack darum herum. Die Fehlernummer sagt, welche Ebene ausgefallen ist, und das entscheidet die erste Prüfung. Ein Neuinstallieren, bevor Sie die Nummer gelesen haben, erzeugt meist denselben Fehler erneut.
Ordnen Sie die Nummer der Ebene zu
Jeder Fehler entsteht an einer anderen Stelle, deshalb unterscheidet sich die erste Prüfung, auch wenn das sichtbare Symptom dieselbe abgelehnte Verbindung ist. Drei Familien decken jeden Fall ab: das Setup, der Adapter und der Port darunter. Die Tabelle unten stellt jede Nummer neben die Prüfung, die sie impliziert.
| Error | When it appears | First check | Usual cause |
|---|---|---|---|
| 27850 | During install | Filter count and security suite | Stack at the filter limit, or a suite blocking the driver |
| 442 | On connect | Adapter state and display name | Disabled adapter, ICS holding it, malformed CVirtA name |
| 651 | On connect | WAN miniport and third-party drivers | Miniport failed to start, bridging driver attached |
Erscheint der Fehler, bevor ein Profil gewählt wurde, gehört er zur Setup-Familie. Erscheint er, während der Client den Adapter hochziehen will, gehört er zur Adapter-Familie. Ist der Adapter sichtbar und öffnet sich der Port nie, ist es die Miniport-Familie. Notieren Sie die Nummer, bevor Sie etwas ändern. Die drei Reparaturen betreffen verschiedene Teile des Stacks, und eine Änderung für die falsche Familie macht den nächsten Versuch schwerer lesbar.
Ein voller Filter-Stack oder eine Suite, die den Treiber blockiert
Die Installation des Clients registriert eine kleine Filterkomponente in der Adapterkette. Windows hat eine harte Obergrenze dafür, wie viele solcher Komponenten binden dürfen, und der Standardwert lässt wenig Raum, sobald Antivirus, eine Virtualisierungsbrücke und ein Capture-Treiber vorhanden sind. Dann scheitert die Installation mit 27850, obwohl das VPN-Paket in Ordnung ist. Das Setup kann einen überfüllten Stack nicht von einem defekten unterscheiden.
Lesen Sie den aktuellen Wert, erhöhen Sie ihn und starten Sie neu, bevor Sie es erneut versuchen. Ein neuer Filter kann nicht binden, solange der Stack nicht neu aufgebaut ist:
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Network" /v MaxNumFilters
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Network" /v MaxNumFilters /t REG_DWORD /d 14 /fDie andere Ursache ist eine Sicherheits-Suite, die die Treiberinstallation ohne sichtbare Nachfrage blockiert. Ihre Selbstverteidigung kann verhindern, dass der Filter sich registriert, und das Setup meldet dann einen allgemeinen Komponentenfehler. Prüfen Sie das eigene Protokoll der Suite, und wenn die Selbstverteidigung blockiert, schalten Sie sie nur für das Installationsfenster ab und sofort danach wieder ein. Ist der Wert schon erhöht und blockiert keine Suite, suchen Sie nach verwaisten Filtertreibern eines früheren VPN-Produkts. Ein alter Filter ohne passenden Dienst belegt weiterhin einen Platz und kann die neue Installation scheitern lassen.
Der Adapter ist da und bleibt unten
Fehler 442 bedeutet, dass der virtuelle Adapter vorhanden ist und der Client ihn nicht hochziehen kann. Die erste Prüfung ist der Geräte-Manager mit eingeblendeten versteckten Geräten: ein deaktivierter Adapter, ein Adapter mit Warnsymbol und ein fehlender Adapter sehen im Client gleich aus, brauchen aber verschiedene Reparaturen. Internet Connection Sharing hält ihn oft. Hat der Dienst den Adapter belegt, stoppen Sie den Dienst und versuchen Sie es erneut, bevor Sie die Registrierung anfassen. Eine übrig gebliebene Freigabekonfiguration kann ihn nach einem Neustart erneut belegen, also notieren Sie, ob die Korrektur einen Neustart übersteht.
Eine Neuinstallation kann einen fehlerhaften Anzeigenamen hinterlassen, der den Adapter unverwaltbar macht. Der Wert sollte reiner Text sein, kein unaufgelöstes Setup-Token:
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\CVirtA" -Name DisplayName
Set-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\CVirtA" -Name DisplayName -Value "Cisco Systems VPN Adapter for 64-bit Windows"Verwenden Sie den Anzeigenamen, den Ihr Client erwartet, und starten Sie dann neu, damit der Adapter neu aufgezählt wird. Setzen Sie den Wert ohne Neustart, bleibt meist der alte Zustand bestehen, und die nächste Verbindung liefert wieder 442.
Der Port darunter öffnet sich nie
Fehler 651 wird gemeldet, wenn der Verbindungsmanager den WAN-Miniport nicht öffnen kann. Der Adapter kann im Client gesund aussehen, während der Port darunter nie einen gestarteten Zustand erreicht. Listen Sie die Miniports und ihren Status auf, bevor Sie irgendetwas neu installieren:
Get-PnpDevice -Class Net | Where-Object { $_.FriendlyName -like "*WAN Miniport*" } | Select-Object Status, FriendlyNameEin Miniport mit Fehlerstatus ist der direkte Hinweis. Eine Neuinstallation über den Geräte-Manager erzeugt den Port neu, und deshalb wirkt diese Reparatur, wenn eine Client-Neuinstallation es nicht tut. Treiber von Drittanbietern am physischen Adapter sind die andere häufige Ursache. Ein VirtualBox-Bridge-Netzwerktreiber, ein übrig gebliebener TAP-Treiber von OpenVPN oder ein Capture-Filter können den Port zuerst belegen. Das Abwählen der Komponente während einer Installation reicht nicht, wenn der Treiber schon gebunden ist; er muss aus den Eigenschaften des Adapters entfernt oder aus dem Treiberspeicher deinstalliert werden.
IPv6 auf der VPN-Verbindung abzuschalten hat diesen Fehler bei manchen Builds behoben, aber behandeln Sie das als Test und nicht als dauerhaftes Konzept. Startet die Verbindung nur mit abgeschaltetem IPv6, ist der darunterliegende Miniport oder Treiber weiterhin die Ursache.
Ändern Sie eine Ebene und sichern Sie die Beweise
Speichern Sie die geänderten Registrierungswerte, notieren Sie Adapter- und Filterliste vorher und nachher, und starten Sie zwischen den Versuchen neu. Ein Neustart gehört hier für jede Familie zur Reparatur, weil der Adapter-Stack beim Start aufgebaut wird und ein Dienstneustart ihn nicht neu aufbaut.
Installieren Sie den Client erst neu, wenn der alte Adapter, die Filter und die Miniports verschwunden sind. Einen neuen Client über einen defekten Stack zu installieren ist der Weg, auf dem aus einem reparierbaren 27850 eine Maschine mit zwei halb registrierten Adaptern und ohne klare Fehlermeldung wird. Halten Sie an und eskalieren Sie, wenn derselbe Fehler die ebenenspezifische Prüfung zweimal übersteht. Dann ist der sinnvolle nächste Schritt eine saubere Netzwerk-Stack-Prüfung mit dem Setup-Protokoll des Herstellers, nicht ein weiterer Versuch derselben Neuinstallation.