Windows VPN ne konektiĝas? Kongruigu la kodon kun la eventa protokolo

Ĝi funkciis vendrede. Lunde la sama Windows-kliento respondas per dialogaĵo diranta, ke la konekta provo malsukcesis, kaj la frazo sube estas unu, kiun vi jam vidis por dekduo da nerilataj problemoj. Tiu dialogaĵo estas la fino de ĉeno, ne ĝia komenco. Windows kaŝas la stadion, kie la provo fakte mortis, kaj du malgrandaj pruvoj nomas ĝin: la numera rezulta kodo kaj unu RasClient-evento el tiu sama minuto. Jen la ordo, kiun mi uzas — fiksu la provon, legu la kodon, eltiru la eventon, poste ŝanĝu precize unu tavolon.

La dialoga teksto estas la lasta paŝo, ne la kaŭzo

La frazo, kiun vi legas, estas elektita post kiam la provo jam malfaldiĝis. "La konekto estis finita de la fora komputilo antaŭ ol la konekto establiĝis" aperas kiam servilo fermas meze de la intertraktado, kiam IPsec malsukcesis antaŭ ol via uzantnomo entute estis sendita, kaj kiam politiko rifuzas la tunelon tute. Tri malsamaj posedantoj, unu frazo. Traktu la vortigon kiel simptomklason kaj ne lasu ĝin gvidi ion ajn ĝis la kodo konsentos kun ĝi.

Kion vi ankoraŭ povas fiksi, estas la provo mem. Notu la konektan nomon, la tunelan tipon konservitan en la profilo — PPTP, L2TP/IPsec, SSTP aŭ IKEv2 — la horon ĝis la sekundo, kaj la kodon. Se vi ne certas, kiu protokolo fakte funkciis, malfermu %APPDATA%\Microsoft\Network\Connections\Pbk\rasphone.pbk kaj legu la eron anstataŭ fidi la memoron; profilo reuzata por nova protokolo konservas sian malnovan montran nomon.

Legu la numeron antaŭ ol legi la vortojn

Kodoj falas en tri stadiojn, kaj la stadio gravas pli ol la preciza vortigo: aŭtentiga interŝanĝo, kiun oni atingis kaj rifuzis, servilo, kiu neniam respondis, aŭ intertraktado, kiu kolapsis post kiam la ligilo leviĝis. 691 estas la unua speco — la legitimila kontrolo funkciis kaj malsukcesis, ĉu pro malbona pasvorto, ŝlosita aŭ eksvalidiĝinta konto, ĉu pro aŭtentiga protokolo, kiun la servilo ne akceptas. 812 ankaŭ estas rifuzo, sed kun validaj legitimiloj: politiko sur la fora alira servilo decidis kontraŭ vi. Microsoft konservas la kanonan liston de erarkodoj por telefontaj kaj VPN-konektoj, kaj indas legi vian numeron tie antaŭ ol serĉi la mesaĝan tekston.

809 estas la mala klaso: nenio revenis. Tio estas voja problemo — TCP 443 filtrita por SSTP, GRE blokita por PPTP, UDP 500 kaj 4500 aŭ ESP forĵetita por IPsec-trapaso. Nova pasvorto ne povas ripari ĝin, nek freŝa atestilo. 720 signifas, ke la ligilo leviĝis kaj PPP neniam finis la intertraktadon, kio montras al protokola malkongruo aŭ servilo, kiu ne povis atribui adreson. 789, aŭ 13801 ĉe IKEv2, estas identeco ene de IPsec: atestilo, kies subjekto ne kongruas kun la nomo, kiun vi vokas, nefidinda ĉeno, aŭ antaŭe kunhavigita ŝlosilo, kiu diferencas inter la du finoj.

Eltiru la RasClient-eventon por tiu sama minuto

En la Eventa Rigardilo, Windows Logs > Application filtrita laŭ fonto RasClient estas la unua loko por rigardi. La priskribo de Microsoft pri eraro 720 montras al evento 20227 en tiu protokolo. La sama provizanto elsendas aliajn identigilojn por aliaj rezultoj, do legu la mesaĝon kaj la enkonstruitan rezultan kodon anstataŭ trakti la ID kiel la diagnozon; ĝenerala dialogaĵo plus 20227 portanta 720 jam estas multe pli mallarĝa rakonto.

El PowerShell, sen klaki tra la GUI:

Get-WinEvent -FilterHashtable @{
  LogName      = 'Application'
  ProviderName = 'RasClient'
  StartTime    = (Get-Date).AddMinutes(-15)
} | Format-List TimeCreated, Id, Message

Malplena rezulto estas informa. Ĝi kutime signifas, ke la voko neniam iris sufiĉe malproksimen por ke RAS registru ion, aŭ ke la programaro, kiu malsukcesis, tute ne estas la denaska kliento — triapartaj klientoj tenas sian propran diagnozon kaj ofte skribas nenion en la protokolon Application. Kontrolu la protokolon de la vendanto antaŭ ol konkludi, ke la eventa registrado estas rompita.

Konstruu unu tempolinion anstataŭ amason da eventoj

Riprovaj bukloj produktas bruon. Kvin aŭtomataj rekonektoj lasas faskon da eventoj, kaj la tento estas legi ilin kiel unu sinsekvon kun unu kaŭzo. Ili estas kvin apartaj provoj, kaj nur iuj el ili atingis servilon. Prenu fenestron de du aŭ tri minutoj, unu konektan nomon, kaj listigu ĉiun eventon kun ĝia propra kodo antaŭ ol interpreti ion ajn.

Poste demandu, kie la provo haltis. Kiam la pordego aŭ la aŭtentiga malantaŭaĵo tenas neniun rikordon por tiu tempostampo, la kliento neniam atingis ĝin, kaj vi rigardas alireblecan problemon. Kiam la malantaŭaĵo montras peton kaj rifuzon, la decido estis farita tie, kaj validas la klaso de legitimiloj aŭ politiko. Komparu horloĝojn antaŭ ol kompari horojn: klientoj raportas lokan horon, multaj pordegoj registras UTC, kaj diferenco igos perfekte korelacian paron aspekti nerilata.

Por ripetebla kapto, voku el la komanda linio kaj lasu ĝin presi la rezulton:

rasdial "Office VPN"
rasdial "Office VPN" /disconnect

La konzolo montras la numeron, kiun la GUI kaŝas malantaŭ afabla teksto, kaj ruli ĝin dufoje diras al vi, ĉu la kodo estas stabila aŭ intermita.

Kion ĉiu stadio diras al vi ŝanĝi

Nomado de la stadio utilas nur se ĝi malvastigas la ŝanĝaron al unu tavolo:

• 691 — aŭtentigo: la EAP-metodo, kiun la kliento proponas, kontraŭ tiu, kiun la servilo akceptas, konta stato, pasvorta eksvalidiĝo, envala permeso.
• 812 — servila politiko: la fora alira politiko aŭ NPS-regulo, kiu kongruas kun ĉi tiu uzanto kaj ĉi tiu tempofenestro.
• 809 — alirebleco: fajroŝirmilaj reguloj sur la vojo, NAT kaj protokola trapaso, la pordo, kiun la elektita tunela tipo bezonas.
• 720 — PPP-intertraktado: malkongruo de aŭtentiga protokolo, adresa atribuo, PPP-agordo ĉe la servila flanko.
• 789 / 13801 — IPsec-identeco: atestila subjekto kontraŭ la nomo, kiun vi vokas, fida ĉeno, antaŭe kunhavigita ŝlosilo.

Ŝanĝu unu el tiuj, retestu la saman profilon, kaj notu la novan kodon. Malsama kodo post ŝanĝo estas progreso, ne kontraŭdiro: vi movis la malsukceson al pli posta stadio, kaj tiel aspektas ripari plurstadian manpremon. Kion vi ne devus fari, estas ŝanĝi la fajroŝirmilon, la atestilon kaj la pasvorton en unu sesio kaj poste atribui la meriton al tiu, kiu venis laste.

Kunhavigu la pruvojn, ne la medion

Eventaj mesaĝoj estas pli riĉaj ol ili aspektas. Ili portas la konektan nomon, la konton, ofte la internan nomon aŭ adreson de la pordego, kaj foje atestilan fingrospuron. Konservu la originalon, kie ĝi apartenas, kaj konstruu apartan redaktitan kopion por iu ajn alia; retajpi la tempolinion el memoro perdas ĝuste la detalojn, kiuj igas ĝin utila.

Transdono, kiu estos prilaborita, bezonas kvin kampojn: la kodon, la stadion al kiu ĝi apartenas, la klienton kaj tunelan tipon, la tempostampon kun sia horzono, kaj ĉu la pordego entute vidis la peton. Ĉio alia estas laŭvola. Kun tiuj kvin, la sekva persono povas distingi legitimilan disputon de enkursiga disputo sen ripeti la esploron.

Antaŭ ol vi fermos ion ajn, ripetu la provon sur la sama profilo kaj konfirmu, kie la kodo nun alteriĝas. Sukceso finas ĝin; malsama malsukceso signifas, ke la origina stadio estas riparita kaj vi havas la sekvan en la mano.