L2TP/IPsec-Fehler 789, 720 oder 691: zuerst die richtige Stufe beheben

Windows 11 meldet für jede L2TP/IPsec-Stufe eine andere Nummer, und diese Nummer kennzeichnet eine Stufe, statt den Fehler zu bewerten. 789 scheitert, bevor die PPP-Verbindung besteht, 720 scheitert, während die Verbindung aufgebaut wird, und 691 scheitert, nachdem die Verbindung steht und die Zugangsdaten abgelehnt werden. Die nützliche Entscheidung ist nicht, welche Reparatur am beliebtesten ist; sondern welche Stufe der Code beweist, dass Sie erreicht haben. Lesen Sie das zuerst, und ändern Sie dann pro Versuch eine Schicht, damit der nächste Code Ihnen noch etwas sagt.

Lesen Sie den Code als Stufe, nicht als Fehlerliste

Eine L2TP-Verbindung überquert drei Grenzen in fester Reihenfolge. IKE handelt Sicherheitsassoziationen über UDP 500 aus, NAT-Traversal verschiebt diesen Verkehr auf UDP 4500, und erst dann trägt der L2TP-Tunnel eine PPP-Sitzung, die den Benutzer authentifiziert und eine Adresse zuweist.

Diese Reihenfolge macht einen wechselnden Fehlercode zu einem nützlichen Beweis. Der Wechsel von 789 zu 720 bedeutet, dass IPsec nun aushandelt und der Fehler zur Verbindungseinrichtung gewandert ist. Der Wechsel von 720 zu 691 bedeutet, dass die Verbindung stand und das Gateway die Identität abgelehnt hat. Wenn Sie fünf Reparaturen auf einmal anwenden, verlieren Sie dieses Signal und können nicht sagen, welche Änderung gewirkt hat.

789: zwischen Pfad und lokaler Richtlinie wählen

Code 789 ist ein Verarbeitungsfehler während der ersten Sicherheitsaushandlung. IPsec hat nie eine nutzbare Assoziation erzeugt, daher wurde das Konto noch nicht getestet. Beginnen Sie mit dem Pfad und dem gemeinsamen Schlüssel, nicht mit dem Konto.

Bestätigen Sie, dass UDP 500 und UDP 4500 den Server erreichen und dass der vorab geteilte Schlüssel Byte für Byte übereinstimmt, einschließlich Groß- und Kleinschreibung und Leerzeichen am Ende. Steht der Server hinter NAT, benötigt Windows möglicherweise auch den dokumentierten Registrierungswert. Verwenden Sie 1, wenn der Server hinter NAT steht, und 2, wenn beide Enden dahinter stehen, und starten Sie dann neu, weil der Richtlinienagent den Wert beim Start liest:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Die aufwendigere Adapterreparatur gehört zum anderen Zweig. Das Entfernen des Wi-Fi-Geräts und der WAN-Miniports und anschließendes Neuscannen nach Hardware ist gerechtfertigt, wenn der lokale IPsec-Stapel selbst beschädigt ist und andere VPN-Typen auf dieselbe Weise scheitern. Es ist verschwendete Mühe, wenn nur ein L2TP-Server scheitert, während jeder andere Netzwerkpfad funktioniert.

720: zwischen diesem Adapter und dem Serverpool wählen

Fehler 720 meldet, dass die Verbindung zum Remotecomputer nicht hergestellt werden konnte, und er erscheint, nachdem IPsec erfolgreich war. Der Tunnel erreichte den Punkt, an dem eine Schnittstelle hochgezogen oder eine Adresse bezogen wird, und blieb dann stehen. Das macht ihn zu einer Frage des lokalen Adapters oder der Serverkapazität.

Nutzen Sie den Wirkungsradius für die Entscheidung. Der Ausfall eines Windows-Rechners deutet auf einen defekten WAN-Miniport, einen gestoppten Remote Access-Dienst oder ein beschädigtes Verbindungsprofil hin. Der Ausfall mehrerer Clients gleichzeitig deutet auf den Server hin: ein erschöpfter Adresspool, ein gestoppter RRAS-Dienst oder ein Pool, der nicht mehr zum Client-Subnetz passt. Beheben Sie die Seite, auf die das Muster zeigt, bevor Sie die andere ändern.

Im Zweig mit einem einzigen Client entfernen Sie die WAN-Miniports einmal und suchen nach Hardwareänderungen, starten dann neu und versuchen es erneut. Im Serverzweig prüfen Sie den Pool und den Dienststatus statt den Client, weil die Neuinstallation eines funktionierenden Adapters keine Adresse erzeugen kann, die der Server nicht hat.

691: zwischen Zugangsdaten und einem gestoppten Helfer wählen

Code 691 ist eine Authentifizierungsablehnung, und er wird am häufigsten fälschlich als falsches Passwort gelesen. Der Tunnel steht, das Gateway hat eine Identität gesehen und sie abgelehnt. Die Ursache kann dennoch außerhalb des Passwortfelds liegen.

Prüfen Sie zuerst das Domänenfeld, dann die genauen Zeichen im Passwort. Ein Passwort mit einem Leerzeichen, einem Anführungszeichen oder einem Shell-Sonderzeichen kann verstümmelt werden, bevor es den Server erreicht; unter Linux pppd meldet dieselbe Ablehnung wie E=691 für einen Wert ohne Anführungszeichen oder eine fehlende Domäne. Tippen Sie das Geheimnis neu ein, statt es einzufügen, und löschen Sie alle gespeicherten Zugangsdaten, die einen älteren Wert enthalten könnten.

Der Zweig, den viele übersehen, ist ein gestoppter Hilfsdienst. Wenn ein Anbieterclient von seinem eigenen Dienst abhängt, um Zugangsdaten an das Gateway zu übergeben, erzeugt ein deaktivierter oder abgestürzter Dienst 691, obwohl das Passwort korrekt ist. Prüfen Sie den Dienststatus des Anbieters, bevor Sie das Konto zurücksetzen, besonders nach einem Neustart oder einem Update.

Um die Zweige zu trennen, testen Sie denselben Benutzernamen gegen ein anderes funktionierendes VPN-Profil oder ein RADIUS-Testkonto. Wenn das gelingt, sind die Zugangsdaten in Ordnung und der lokale Clientpfad verdächtig. Scheitert es auf dieselbe Weise, liegt das Problem beim Konto oder bei der Gateway-Richtlinie.

Ändern Sie pro Versuch eine Schicht

Arbeiten Sie von außen nach innen: Erreichbarkeit und NAT-Traversal, dann der vorab geteilte Schlüssel, dann der lokale Adapterstapel, dann die Zugangsdaten, dann der Serverpool und die Dienste. Diese Reihenfolge folgt den Stufen, die die Codes beschreiben, und hält jedes Ergebnis einer einzigen Änderung zuordenbar.

Führen Sie ein kurzes Protokoll über den Code vor und nach jedem Versuch, den Client-Build und darüber, ob der Server oder der Client geändert wurde. Eine Folge wie 789, dann 720, dann 691 ist eine Fortschrittskarte; derselbe Code zweimal bedeutet, dass die letzte Änderung diese Stufe nicht adressiert hat. Eine Neuinstallation von Windows löscht diese Karte und behebt selten einen Fehler, der am Gateway lebt.

Wenn der Code aufhört, sich zu ändern, hören Sie auf, Dinge zu ändern. Erfassen Sie den aktuellen Code, die Serveradresse, die Authentifizierungsmethode und den Zeitpunkt des Versuchs, und vergleichen Sie diesen Datensatz dann mit einem funktionierenden Client. Der Unterschied zwischen den beiden Datensätzen ist meist kleiner als die Liste der Reparaturen, die Leute standardmäßig ausprobieren.