Κωδικοί σφάλματος VPN στα Windows: ποιο στάδιο απέτυχε και τι να καταγράψετε

Ανοίξτε το παράθυρο VPN των Windows μετά από μια αποτυχία και θα σας δώσει έναν αριθμό και μια πρόταση, όπου η πρόταση είναι συνήθως το λιγότερο χρήσιμο μισό. Ο αριθμός δηλώνει ποιο στάδιο της σύνδεσης απέτυχε και το στάδιο καθορίζει ποιο αρχείο, ποια ρύθμιση και ποια ομάδα να κοιτάξετε στη συνέχεια. Το πέρασμα από τα στάδια με τη σειρά διαρκεί περίπου δέκα λεπτά και αποτρέπει τη γνωστή ακολουθία επανεγκατάστασης προσαρμογέων, αλλαγής πρωτοκόλλων και επαναφοράς της στοίβας για να διορθωθεί ένας λογαριασμός στον οποίο δεν επιτράπηκε ποτέ να καλέσει.

Διαβάστε τον αριθμό ως στάδιο

Μια εγγενής σύνδεση περνά από τέσσερα ορόσημα. Φτάνει στον διακομιστή και στήνει ζεύξη, διαπραγματεύεται ασφάλεια, ταυτοποιεί τον χρήστη και εφαρμόζει διευθυνσιοδότηση και δρομολόγηση. Μια αποτυχία σε καθένα από αυτά αφήνει διαφορετικές αποδείξεις, και ένας κωδικός που ανήκει σε ένα στάδιο δεν λέει τίποτε χρήσιμο για τα άλλα.

Το λάθος που πρέπει να αποφύγετε είναι να αντιμετωπίζετε τον κωδικό ως βαθμό σοβαρότητας. Μια αποτυχία ζεύξης και μια αποτυχία εξουσιοδότησης διαβάζονται και οι δύο ως "δεν ήταν δυνατή η σύνδεση", και δεν έχουν τίποτε άλλο κοινό. Η σοβαρότητα λέει πόσο επείγον είναι κάτι· το στάδιο λέει τι να ανοίξετε.

Στάδιο πρώτο: η ζεύξη και η απόπειρα κλήσης

Το 829 σημαίνει ότι η υποκείμενη ζεύξη έπεσε. Δεν λέει αν ο απομακρυσμένος ομότιμος σταμάτησε να απαντά, αν ένα ενδιάμεσο κουτί σκότωσε τη σύνοδο ή αν μια πολιτική στον υπολογιστή την έκλεισε. Ένας κωδικός ολοκλήρωσης κλήσης όπως το 703 είναι ακόμη νωρίτερος: η απόπειρα δεν έφτασε ποτέ να έχει ζεύξη, κάτι που συνήθως δείχνει το προφίλ, την κατάσταση της υπηρεσίας ή μια τοπική πολιτική.

Get-VpnConnection -Name 'Corp' | Select-Object Name,ServerAddress,TunnelType,AuthenticationMethod,ConnectionStatus
Test-NetConnection -ComputerName vpn.example.net -Port 443
Get-WinEvent -LogName Application -MaxEvents 200 | Where-Object ProviderName -match 'RasClient' | Select-Object -First 15 TimeCreated,Id,Message

Το ερώτημα συμβάντων είναι το κομμάτι που οι άνθρωποι προσπερνούν. Μια εγγραφή στην πλευρά του πελάτη με χρονική σφραγίδα και όνομα διεπαφής αξίζει περισσότερο από το παράθυρο, γιατί λέει αν η απόπειρα έφυγε καθόλου από το μηχάνημα. Καμία εγγραφή και καμία απάντηση από τον ακροατή σημαίνει πρόβλημα προσβασιμότητας, και καμία επεξεργασία στον πελάτη δεν το αλλάζει.

Αν το ίδιο προφίλ λειτουργεί σε άλλο δίκτυο, σταματήστε εδώ. Ο κωδικός περιγράφει μια συνθήκη διαδρομής και όχι σφάλμα διαμόρφωσης, και η επόμενη χρήσιμη σύγκριση είναι οι δύο καταγραφές και όχι άλλη επανεγκατάσταση.

Στάδιο δεύτερο: PPP και η δέσμευση μίνι-θύρας

Το 720 βρίσκεται ανάμεσα στη ζεύξη και τον χρήστη. Η σήραγγα ανέβηκε και μετά το επίπεδο PPP δεν μπόρεσε να διαπραγματευτεί διεύθυνση ή πρωτόκολλο ελέγχου, που συχνά είναι πρόβλημα δέσμευσης στον πελάτη και όχι απορριφθέν διαπιστευτήριο. Αυτή η διάκριση είναι όλη η αξία του κωδικού: λέει ότι το διαπιστευτήριο δεν αγγίχτηκε ποτέ, άρα ο λογαριασμός δεν είναι ο ύποπτος.

Get-NetAdapter -IncludeHidden | Where-Object InterfaceDescription -match 'WAN Miniport' | Select-Object Name,Status,ifIndex
Get-NetAdapterBinding | Where-Object ComponentID -match 'ms_pptp|ms_l2tp|ms_sstp|ms_agile' | Select-Object Name,ComponentID,Enabled

Το διάβασμα αυτών των δύο εξόδων πληροφορεί περισσότερο από την επαναφορά οτιδήποτε. Μια μίνι-θύρα που υπάρχει αλλά δεν ξεκίνησε, ή μια δέσμευση πρωτοκόλλου που απενεργοποιήθηκε από άλλο λογισμικό, παράγει ακριβώς την αποτυχία αυτού του σταδίου. Και τα δύο διορθώνονται χωρίς να αγγίξετε την υπόλοιπη στοίβα. Μια πλήρης επαναφορά, αντίθετα, αφαιρεί διευθυνσιοδότηση και κατάσταση φίλτρων που δεν είχαν καμία σχέση με τη βλάβη.

Στάδιο τρίτο: ταυτότητα και εξουσιοδότηση

Το 691 σημαίνει ότι τα διαπιστευτήρια απορρίφθηκαν. Το 649 σημαίνει ότι ο λογαριασμός δεν έχει άδεια κλήσης, και το 812 σημαίνει ότι μια πολιτική απομακρυσμένης πρόσβασης απέρριψε τη σύνδεση. Αυτές είναι αποφάσεις, όχι βλάβες μεταφοράς, και ο πελάτης μπορεί μόνο να τις αναφέρει.

Οι αποδείξεις είναι στην άλλη πλευρά. Ζητήστε από τον διαχειριστή της πύλης την απόπειρα σε εκείνη τη χρονική σφραγίδα και την πολιτική που ταίριαξε· ρωτήστε τον ιδιοκτήτη του καταλόγου αν ο λογαριασμός έχει άδεια κλήσης και αν βρίσκεται στην ομάδα που απαιτεί η πολιτική. Η αλλαγή τύπου σήραγγας ή η επανεγκατάσταση του πελάτη δεν μπορεί να αλλάξει μια απόφαση που ελήφθη για μια ταυτότητα.

Μια χρήσιμη συνήθεια σε αυτό το στάδιο είναι να γράψετε στο δελτίο την ακριβή συμβολοσειρά λογαριασμού, μαζί με τυχόν πρόθεμα τομέα. Ένας εκπληκτικός αριθμός περιπτώσεων 691 είναι αποθηκευμένα διαπιστευτήρια για λάθος τομέα, και αυτό φαίνεται στη συμβολοσειρά λογαριασμού και όχι στις ρυθμίσεις πρωτοκόλλου.

Στάδιο τέταρτο: συνδεδεμένος, και τίποτε δεν λειτουργεί

Μια σύνδεση μπορεί να ολοκληρωθεί και να είναι άχρηστη. Κρατά μια διεύθυνση, ο πελάτης αναφέρει επιτυχία, και κάθε αίτημα της εφαρμογής λήγει. Τίποτε στο παράθυρο δεν το αντανακλά, και δεν υπάρχει κωδικός για αναζήτηση. Σε εκείνο το σημείο το παράθυρο τελείωσε και οι χρήσιμες αποδείξεις είναι αλλού.

Get-NetRoute -DestinationPrefix 10.24.0.0/16 | Select-Object DestinationPrefix,NextHop,InterfaceAlias
Resolve-DnsName files.corp.example.internal
Test-NetConnection -ComputerName 10.24.6.15 -Port 445

Αν λείπει η διαδρομή, ο διακομιστής δεν την έσπρωξε ή ο πελάτης την έριξε. Αν η διαδρομή υπάρχει και το όνομα αποτυγχάνει, το πρόβλημα είναι η επίλυση. Αν και τα δύο λειτουργούν και η εφαρμογή αποτυγχάνει ακόμη, έχετε περάσει τη σήραγγα και βρίσκεστε στη δική της διαμόρφωση της εφαρμογής.

Κρατήστε τις αλλαγές σε ένα επίπεδο ανά δοκιμή. Κάθε επεξεργασία πριν από την επόμενη απόπειρα γίνεται μέρος του πλαισίου του επόμενου κωδικού, και ένας κωδικός που περιγράφει την τελευταία σας αλλαγή είναι χειρότερος από καθόλου κωδικό.

Μία απόπειρα, μία αλλαγή, μία εγγραφή

Όποιο κι αν είναι το στάδιο, η εγγραφή πρέπει να περιέχει τον κωδικό, το μήνυμα, το όνομα προφίλ, τη χρονική σφραγίδα και το δίκτυο στο οποίο ήσασταν. Πέντε πεδία, και καθένα από αυτά είναι ήδη μπροστά σας στο παράθυρο ή στο αρχείο του πελάτη. Το σύνολο είναι αρκετά μικρό για επικόλληση σε δελτίο και αρκετά συγκεκριμένο ώστε να το αναπαράγει κάποιος άλλος.

Μετά βάλτε αυτή τη χρονική σφραγίδα δίπλα στην εγγραφή της άλλης πλευράς. Ο πίνακας κοντά στην κορυφή της σελίδας λέει ποιο στάδιο κατέχει κάθε ασυμφωνία. Χωρίς τη δεύτερη εγγραφή ο κωδικός απλώς στενεύει την αναζήτηση· με αυτήν, το στάδιο αποφασίζεται. Η σύγκριση είναι αυτό που μετατρέπει έναν αριθμό σε διάγνωση και όχι σε εικασία.

Αυτή η συνήθεια καλύπτει σχεδόν κάθε εγγενή βλάβη VPN στα Windows, και κανένας από τους κλάδους δεν απαιτεί επανεγκατάσταση οτιδήποτε. Το παράθυρο σας έλεγε πάντα ποια έχετε· η δουλειά είναι να αρνηθείτε να τις αντιμετωπίζετε όλες ως το ίδιο πρόβλημα.