Σφάλμα L2TP/IPsec 789, 720 ή 691: διορθώστε πρώτα το σωστό στάδιο

Τα Windows 11 αναφέρουν διαφορετικό αριθμό για κάθε στάδιο του L2TP/IPsec, και ο αριθμός αυτός επισημαίνει ένα στάδιο αντί να βαθμολογεί την αποτυχία. Το 789 αποτυγχάνει πριν υπάρξει η σύνδεση PPP, το 720 αποτυγχάνει όσο η σύνδεση ανεβαίνει, και το 691 αποτυγχάνει αφού η σύνδεση ανέβει και τα διαπιστευτήρια απορριφθούν. Η χρήσιμη απόφαση δεν είναι ποια διόρθωση είναι πιο δημοφιλής· είναι ποιο στάδιο αποδεικνύει ο κωδικός ότι έχετε φτάσει. Διαβάστε το πρώτα, και μετά αλλάξτε ένα επίπεδο ανά προσπάθεια ώστε ο επόμενος κωδικός να σας λέει ακόμα κάτι.

Διαβάστε τον κωδικό ως στάδιο, όχι ως λίστα βλαβών

Μια σύνδεση L2TP διασχίζει τρία όρια με σταθερή σειρά. Το IKE διαπραγματεύεται συσχετίσεις ασφαλείας μέσω UDP 500, η διέλευση NAT μετακινεί αυτή την κίνηση στο UDP 4500, και μόνο τότε η σήραγγα L2TP μεταφέρει μια συνεδρία PPP που επαληθεύει τον χρήστη και εκχωρεί διεύθυνση.

Αυτή η σειρά είναι ο λόγος που ένας μεταβαλλόμενος κωδικός σφάλματος είναι χρήσιμη απόδειξη. Η μετάβαση από 789 σε 720 σημαίνει ότι το IPsec πλέον διαπραγματεύεται και η αποτυχία μετακινήθηκε στη δημιουργία σύνδεσης. Η μετάβαση από 720 σε 691 σημαίνει ότι η σύνδεση ανέβηκε και η πύλη απέρριψε την ταυτότητα. Αν εφαρμόσετε πέντε διορθώσεις ταυτόχρονα, χάνετε αυτό το σήμα και δεν μπορείτε να πείτε ποια αλλαγή λειτούργησε.

789: επιλέξτε ανάμεσα στη διαδρομή και στην τοπική πολιτική

Ο κωδικός 789 είναι σφάλμα επεξεργασίας κατά τις αρχικές διαπραγματεύσεις ασφαλείας. Το IPsec δεν παρήγαγε ποτέ χρησιμοποιήσιμη συσχέτιση, οπότε ο λογαριασμός δεν έχει δοκιμαστεί ακόμη. Ξεκινήστε από τη διαδρομή και το κοινόχρηστο κλειδί, όχι από τον λογαριασμό.

Επιβεβαιώστε ότι το UDP 500 και το UDP 4500 φτάνουν στον διακομιστή και ότι το προκοινοποιημένο κλειδί ταιριάζει byte προς byte, συμπεριλαμβανομένης της διάκρισης πεζών-κεφαλαίων και των κενών στο τέλος. Αν ο διακομιστής βρίσκεται πίσω από NAT, τα Windows μπορεί να χρειάζονται και την τεκμηριωμένη τιμή μητρώου. Χρησιμοποιήστε 1 όταν ο διακομιστής είναι πίσω από NAT και 2 όταν είναι και τα δύο άκρα, και μετά επανεκκινήστε επειδή ο παράγοντας πολιτικής διαβάζει την τιμή κατά την εκκίνηση:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Η βαρύτερη επισκευή προσαρμογέα ανήκει στον άλλο κλάδο. Η αφαίρεση της συσκευής Wi-Fi και των μίνι θυρών WAN και έπειτα η σάρωση για υλικό δικαιολογείται όταν η τοπική στοίβα IPsec είναι η ίδια κατεστραμμένη και άλλοι τύποι VPN αποτυγχάνουν με τον ίδιο τρόπο. Είναι χαμένος κόπος όταν αποτυγχάνει μόνο ένας διακομιστής L2TP ενώ κάθε άλλη διαδρομή δικτύου λειτουργεί.

720: επιλέξτε ανάμεσα σε αυτόν τον προσαρμογέα και στη δεξαμενή διακομιστών

Το σφάλμα 720 αναφέρει ότι η σύνδεση με τον απομακρυσμένο υπολογιστή δεν μπόρεσε να γίνει, και εμφανίζεται αφού το IPsec πετύχει. Η σήραγγα έφτασε στο σημείο να ανεβάσει μια διεπαφή ή να πάρει διεύθυνση και μετά σταμάτησε. Αυτό το κάνει ζήτημα τοπικού προσαρμογέα ή ζήτημα χωρητικότητας διακομιστή.

Χρησιμοποιήστε την ακτίνα επίπτωσης για να αποφασίσετε. Μία μηχανή Windows που αποτυγχάνει δείχνει σε ελαττωματική μίνι θύρα WAN, σε σταματημένη υπηρεσία Remote Access ή σε κατεστραμμένο προφίλ σύνδεσης. Πολλοί πελάτες που αποτυγχάνουν ταυτόχρονα δείχνουν στον διακομιστή: εξαντλημένη δεξαμενή διευθύνσεων, σταματημένη υπηρεσία RRAS ή δεξαμενή που δεν ταιριάζει πλέον με το υποδίκτυο των πελατών. Διορθώστε την πλευρά που υποδεικνύει το μοτίβο πριν αλλάξετε την άλλη.

Στον κλάδο του ενός πελάτη, αφαιρέστε τις μίνι θύρες WAN μία φορά και σαρώστε για αλλαγές υλικού, μετά επανεκκινήστε και δοκιμάστε ξανά. Στον κλάδο του διακομιστή, ελέγξτε τη δεξαμενή και την κατάσταση της υπηρεσίας αντί για τον πελάτη, επειδή η επανεγκατάσταση ενός λειτουργικού προσαρμογέα δεν μπορεί να δημιουργήσει διεύθυνση που δεν έχει ο διακομιστής.

691: επιλέξτε ανάμεσα στο διαπιστευτήριο και σε έναν σταματημένο βοηθό

Ο κωδικός 691 είναι απόρριψη ελέγχου ταυτότητας, και είναι ο κωδικός που διαβάζεται πιο συχνά λανθασμένα ως λάθος κωδικός πρόσβασης. Η σήραγγα είναι ενεργή, η πύλη είδε μια ταυτότητα και την απέρριψε. Η αιτία μπορεί ακόμη να βρίσκεται έξω από το πεδίο του κωδικού πρόσβασης.

Ελέγξτε πρώτα το πεδίο τομέα και μετά τους ακριβείς χαρακτήρες στον κωδικό πρόσβασης. Ένας κωδικός που περιέχει κενό, εισαγωγικό ή ειδικό χαρακτήρα κελύφους μπορεί να αλλοιωθεί πριν φτάσει στον διακομιστή· στο Linux, pppd αναφέρει την ίδια απόρριψη με E=691 για τιμή χωρίς εισαγωγικά ή για τομέα που λείπει. Πληκτρολογήστε ξανά το μυστικό αντί να το επικολλήσετε, και σβήστε οποιοδήποτε αποθηκευμένο διαπιστευτήριο μπορεί να κρατά παλαιότερη τιμή.

Ο κλάδος που χάνουν οι περισσότεροι είναι μια σταματημένη βοηθητική υπηρεσία. Όταν ένας πελάτης προμηθευτή εξαρτάται από τη δική του υπηρεσία για να περάσει διαπιστευτήρια στην πύλη, μια απενεργοποιημένη ή κατεστραμμένη υπηρεσία παράγει 691 ακόμη και όταν ο κωδικός πρόσβασης είναι σωστός. Ελέγξτε την κατάσταση της υπηρεσίας του προμηθευτή πριν επαναφέρετε τον λογαριασμό, ειδικά μετά από επανεκκίνηση ή ενημέρωση.

Για να ξεχωρίσετε τους κλάδους, δοκιμάστε το ίδιο όνομα χρήστη σε άλλο λειτουργικό προφίλ VPN ή σε λογαριασμό δοκιμής RADIUS. Αν πετύχει, το διαπιστευτήριο είναι εντάξει και η τοπική διαδρομή πελάτη είναι ύποπτη. Αν αποτύχει με τον ίδιο τρόπο, το πρόβλημα είναι ο λογαριασμός ή η πολιτική της πύλης.

Αλλάξτε ένα επίπεδο ανά προσπάθεια

Δουλέψτε από έξω προς τα μέσα: προσβασιμότητα και διέλευση NAT, μετά το προκοινοποιημένο κλειδί, μετά η τοπική στοίβα προσαρμογέα, μετά το διαπιστευτήριο, μετά η δεξαμενή διακομιστών και οι υπηρεσίες. Αυτή η σειρά ακολουθεί τα στάδια που περιγράφουν οι κωδικοί και κρατά κάθε αποτέλεσμα αποδιδόμενο σε μία αλλαγή.

Κρατήστε ένα σύντομο αρχείο του κωδικού πριν και μετά από κάθε προσπάθεια, της έκδοσης του πελάτη και του αν άλλαξε ο διακομιστής ή ο πελάτης. Μια ακολουθία όπως 789, μετά 720, μετά 691 είναι χάρτης προόδου· ο ίδιος κωδικός δύο φορές σημαίνει ότι η τελευταία αλλαγή δεν αντιμετώπισε αυτό το στάδιο. Η επανεγκατάσταση των Windows σβήνει αυτόν τον χάρτη και σπάνια διορθώνει αποτυχία που ζει στην πύλη.

Όταν ο κωδικός σταματήσει να αλλάζει, σταματήστε να αλλάζετε πράγματα. Καταγράψτε τον τρέχοντα κωδικό, τη διεύθυνση του διακομιστή, τη μέθοδο ελέγχου ταυτότητας και την ώρα της προσπάθειας, και μετά συγκρίνετε αυτό το αρχείο με έναν πελάτη που λειτουργεί. Η διαφορά μεταξύ των δύο αρχείων είναι συνήθως μικρότερη από τη λίστα διορθώσεων που δοκιμάζουν οι άνθρωποι εξ ορισμού.