Το VPN των Windows δεν συνδέεται; Αντιστοιχίστε τον κωδικό με το αρχείο συμβάντων

Λειτουργούσε την Παρασκευή. Τη Δευτέρα ο ίδιος πελάτης Windows απαντά με ένα παράθυρο διαλόγου που λέει ότι η απόπειρα σύνδεσης απέτυχε, και η πρόταση από κάτω είναι μία που έχετε ήδη δει για μια ντουζίνα άσχετα προβλήματα. Αυτό το παράθυρο είναι το τέλος μιας αλυσίδας, όχι η αρχή της. Τα Windows κρύβουν το στάδιο όπου η απόπειρα πέθανε πραγματικά, και δύο μικρά στοιχεία το ονομάζουν: ο αριθμητικός κωδικός αποτελέσματος και ένα συμβάν RasClient από το ίδιο λεπτό. Αυτή είναι η σειρά που χρησιμοποιώ — καρφιτσώστε την απόπειρα, διαβάστε τον κωδικό, τραβήξτε το συμβάν και μετά αλλάξτε ακριβώς ένα επίπεδο.

Το κείμενο του διαλόγου είναι το τελευταίο βήμα, όχι η αιτία

Η πρόταση που διαβάζετε επιλέγεται αφού η απόπειρα έχει ήδη ξετυλιχθεί. Το "Η σύνδεση τερματίστηκε από τον απομακρυσμένο υπολογιστή πριν εδραιωθεί η σύνδεση" εμφανίζεται όταν ένας διακομιστής κλείνει στη μέση της διαπραγμάτευσης, όταν το IPsec απέτυχε πριν σταλεί ποτέ το όνομα χρήστη σας, και όταν μια πολιτική αρνήθηκε τη σήραγγα ευθέως. Τρεις διαφορετικοί ιδιοκτήτες, μία πρόταση. Αντιμετωπίστε τη διατύπωση ως κλάση συμπτωμάτων και μην την αφήσετε να κατευθύνει τίποτα μέχρι ο κωδικός να συμφωνήσει μαζί της.

Αυτό που μπορείτε ακόμη να καρφιτσώσετε είναι η ίδια η απόπειρα. Σημειώστε το όνομα της σύνδεσης, τον τύπο σήραγγας που είναι αποθηκευμένος στο προφίλ — PPTP, L2TP/IPsec, SSTP ή IKEv2 — την ώρα μέχρι το δευτερόλεπτο και τον κωδικό. Αν δεν είστε σίγουροι ποιο πρωτόκολλο έτρεξε πραγματικά, ανοίξτε το %APPDATA%\Microsoft\Network\Connections\Pbk\rasphone.pbk και διαβάστε την καταχώριση αντί να εμπιστευτείτε τη μνήμη σας· ένα προφίλ που ξαναχρησιμοποιείται για νέο πρωτόκολλο κρατά το παλιό του όνομα εμφάνισης.

Διαβάστε τον αριθμό πριν διαβάσετε τις λέξεις

Οι κωδικοί πέφτουν σε τρία στάδια, και το στάδιο μετράει περισσότερο από τη διατύπωση: μια ανταλλαγή ελέγχου ταυτότητας που προσεγγίστηκε και απορρίφθηκε, ένας διακομιστής που δεν απάντησε ποτέ, ή μια διαπραγμάτευση που κατέρρευσε αφού ανέβηκε ο σύνδεσμος. Ο 691 είναι ο πρώτος τύπος — ο έλεγχος διαπιστευτηρίων έτρεξε και απέτυχε, είτε λόγω λάθους κωδικού, είτε λόγω κλειδωμένου ή ληγμένου λογαριασμού, είτε λόγω πρωτοκόλλου ελέγχου ταυτότητας που ο διακομιστής δεν δέχεται. Ο 812 είναι επίσης άρνηση, αλλά με έγκυρα διαπιστευτήρια: μια πολιτική στον διακομιστή απομακρυσμένης πρόσβασης αποφάσισε εναντίον σας. Η Microsoft διατηρεί τον κανονικό κατάλογο κωδικών σφαλμάτων για συνδέσεις dial-up και VPN, και αξίζει να διαβάσετε τον αριθμό σας εκεί πριν αναζητήσετε το κείμενο του μηνύματος.

Ο 809 είναι η αντίθετη κλάση: δεν επέστρεψε τίποτα. Αυτό είναι πρόβλημα διαδρομής — TCP 443 φιλτραρισμένο για SSTP, GRE μπλοκαρισμένο για PPTP, UDP 500 και 4500 ή ESP απορριπτόμενα για διέλευση IPsec. Ένας νέος κωδικός δεν μπορεί να το διορθώσει, ούτε ένα φρέσκο πιστοποιητικό. Ο 720 σημαίνει ότι ο σύνδεσμος ανέβηκε και το PPP δεν ολοκλήρωσε ποτέ τη διαπραγμάτευση, κάτι που δείχνει ασυμφωνία πρωτοκόλλου ή διακομιστή που δεν μπόρεσε να εκχωρήσει διεύθυνση. Ο 789, ή ο 13801 στο IKEv2, είναι ταυτότητα μέσα στο IPsec: ένα πιστοποιητικό του οποίου το θέμα δεν ταιριάζει με το όνομα που καλείτε, μια μη έμπιστη αλυσίδα, ή ένα προ-κοινόχρηστο κλειδί που διαφέρει μεταξύ των δύο άκρων.

Τραβήξτε το συμβάν RasClient για το ίδιο λεπτό

Στην Προβολή συμβάντων, το Windows Logs > Application φιλτραρισμένο κατά προέλευση RasClient είναι το πρώτο μέρος που κοιτάτε. Η περιγραφή της Microsoft για το σφάλμα 720 δείχνει το συμβάν 20227 σε εκείνο το αρχείο. Ο ίδιος πάροχος εκπέμπει άλλα αναγνωριστικά για άλλα αποτελέσματα, οπότε διαβάστε το μήνυμα και τον ενσωματωμένο κωδικό αποτελέσματος αντί να θεωρήσετε το ID τη διάγνωση· ένα γενικό παράθυρο διαλόγου μαζί με ένα 20227 που φέρει 720 είναι ήδη πολύ στενότερη ιστορία.

Από το PowerShell, χωρίς κλικ μέσα από το GUI:

Get-WinEvent -FilterHashtable @{
  LogName      = 'Application'
  ProviderName = 'RasClient'
  StartTime    = (Get-Date).AddMinutes(-15)
} | Format-List TimeCreated, Id, Message

Ένα κενό αποτέλεσμα είναι διαφωτιστικό. Συνήθως σημαίνει ότι η κλήση δεν έφτασε ποτέ αρκετά μακριά ώστε να καταγράψει κάτι το RAS, ή ότι το λογισμικό που απέτυχε δεν είναι καθόλου ο εγγενής πελάτης — οι πελάτες τρίτων κρατούν τη δική τους διαγνωστική και συχνά δεν γράφουν τίποτα στο αρχείο Application. Ελέγξτε το αρχείο του προμηθευτή πριν συμπεράνετε ότι η καταγραφή συμβάντων είναι χαλασμένη.

Χτίστε ένα χρονολόγιο αντί για ένα σωρό συμβάντων

Οι βρόχοι επανάληψης παράγουν θόρυβο. Πέντε αυτόματες επανασυνδέσεις αφήνουν ένα σύμπλεγμα συμβάντων, και ο πειρασμός είναι να τα διαβάσετε ως μία ακολουθία με μία αιτία. Είναι πέντε ξεχωριστές απόπειρες, και μόνο μερικές έφτασαν σε διακομιστή. Πάρτε ένα παράθυρο δύο ή τριών λεπτών, ένα όνομα σύνδεσης, και απαριθμήστε κάθε συμβάν με τον δικό του κωδικό πριν ερμηνεύσετε οτιδήποτε.

Μετά ρωτήστε πού σταμάτησε η απόπειρα. Όταν η πύλη ή το backend ελέγχου ταυτότητας δεν κρατά κανένα αρχείο για εκείνη τη χρονική σήμανση, ο πελάτης δεν την προσέγγισε ποτέ, και βλέπετε πρόβλημα προσβασιμότητας. Όταν το backend δείχνει αίτημα και απόρριψη, η απόφαση ελήφθη εκεί, και ισχύει η κλάση διαπιστευτηρίων ή πολιτικής. Συγκρίνετε ρολόγια πριν συγκρίνετε ώρες: οι πελάτες αναφέρουν τοπική ώρα, πολλές πύλες καταγράφουν σε UTC, και μια απόκλιση θα κάνει ένα απόλυτα συσχετισμένο ζεύγος να φαίνεται άσχετο.

Για επαναλήψιμη καταγραφή, καλέστε από τη γραμμή εντολών και αφήστε το να εκτυπώσει το αποτέλεσμα:

rasdial "Office VPN"
rasdial "Office VPN" /disconnect

Η κονσόλα δείχνει τον αριθμό που το GUI κρύβει πίσω από φιλικό κείμενο, και η εκτέλεση δύο φορές σας λέει αν ο κωδικός είναι σταθερός ή διακοπτόμενος.

Τι σας λέει κάθε στάδιο να αλλάξετε

Το να ονομάσετε το στάδιο είναι χρήσιμο μόνο αν συρρικνώσει το σύνολο αλλαγών σε ένα επίπεδο:

• 691 — έλεγχος ταυτότητας: η μέθοδος EAP που προσφέρει ο πελάτης έναντι εκείνης που δέχεται ο διακομιστής, κατάσταση λογαριασμού, λήξη κωδικού, άδεια κλήσης.
• 812 — πολιτική διακομιστή: η πολιτική απομακρυσμένης πρόσβασης ή ο κανόνας NPS που ταιριάζει σε αυτόν τον χρήστη και αυτό το χρονικό παράθυρο.
• 809 — προσβασιμότητα: κανόνες τείχους προστασίας στη διαδρομή, NAT και διέλευση πρωτοκόλλου, η θύρα που χρειάζεται ο επιλεγμένος τύπος σήραγγας.
• 720 — διαπραγμάτευση PPP: ασυμφωνία πρωτοκόλλου ελέγχου ταυτότητας, εκχώρηση διεύθυνσης, ρύθμιση PPP στην πλευρά του διακομιστή.
• 789 / 13801 — ταυτότητα IPsec: θέμα πιστοποιητικού έναντι του ονόματος που καλείτε, αλυσίδα εμπιστοσύνης, προ-κοινόχρηστο κλειδί.

Αλλάξτε ένα από αυτά, δοκιμάστε ξανά το ίδιο προφίλ και σημειώστε τον νέο κωδικό. Ένας διαφορετικός κωδικός μετά από μια αλλαγή είναι πρόοδος και όχι αντίφαση: μετακινήσατε την αποτυχία σε μεταγενέστερο στάδιο, και έτσι μοιάζει η διόρθωση μιας χειραψίας πολλών σταδίων. Αυτό που δεν πρέπει να κάνετε είναι να αλλάξετε το τείχος προστασίας, το πιστοποιητικό και τον κωδικό σε μία συνεδρία και μετά να πιστώσετε όποιο ήρθε τελευταίο.

Μοιραστείτε τα στοιχεία, όχι το περιβάλλον

Τα μηνύματα συμβάντων είναι πλουσιότερα απ' ό,τι φαίνονται. Μεταφέρουν το όνομα της σύνδεσης, τον λογαριασμό, συχνά το εσωτερικό όνομα ή τη διεύθυνση της πύλης, και μερικές φορές ένα αποτύπωμα πιστοποιητικού. Κρατήστε το πρωτότυπο εκεί που ανήκει, και φτιάξτε ένα ξεχωριστό επεξεργασμένο αντίγραφο για οποιονδήποτε άλλον· η αναπληκτρολόγηση του χρονολογίου από μνήμης χάνει ακριβώς τις λεπτομέρειες που το κάνουν χρήσιμο.

Μια παράδοση που θα δουλευτεί χρειάζεται πέντε πεδία: τον κωδικό, το στάδιο στο οποίο ανήκει, τον πελάτη και τον τύπο σήραγγας, τη χρονική σήμανση με τη ζώνη ώρας της, και αν η πύλη είδε καθόλου το αίτημα. Όλα τα άλλα είναι προαιρετικά. Με αυτά τα πέντε, το επόμενο άτομο μπορεί να ξεχωρίσει μια διαφωνία διαπιστευτηρίων από μια διαφωνία δρομολόγησης χωρίς να επαναλάβει την έρευνα.

Πριν κλείσετε οτιδήποτε, επαναλάβετε την απόπειρα στο ίδιο προφίλ και επιβεβαιώστε πού προσγειώνεται τώρα ο κωδικός. Μια επιτυχία το τελειώνει· μια διαφορετική αποτυχία σημαίνει ότι το αρχικό στάδιο διορθώθηκε και έχετε το επόμενο στα χέρια σας.