L2TP/IPsec viga 789, 720 või 691: paranda enne õige etapp

Windows 11 teavitab iga L2TP/IPsec etapi jaoks erinevat numbrit ja see number tähistab etappi, mitte ei hinda tõrget. 789 nurjub enne, kui PPP-lüli olemas on, 720 nurjub lüli ülesehitamise ajal ja 691 nurjub pärast seda, kui lüli on üleval ja mandaadid tagasi lükatakse. Kasulik otsus ei ole see, milline parandus on kõige populaarsem; vaid see, millise etapi kood tõestab, et oled saavutanud. Loe seda kõigepealt, seejärel muuda iga katse kohta ühte kihti, et järgmine kood ütleks sulle ikka midagi.

Loe koodi etapina, mitte tõrgete loendina

L2TP-ühendus läbib kolm piiri kindlas järjekorras. IKE peab UDP 500 kaudu läbirääkimisi turvaassotsiatsioonide üle, NAT-i läbimine liigutab selle liikluse UDP 4500 peale ja alles siis kannab L2TP tunnel PPP-sessiooni, mis autendib kasutaja ja määrab aadressi.

Just see järjekord teeb muutuvast veakoodist kasuliku tõendi. Üleminek 789-lt 720-le tähendab, et IPsec peab nüüd läbirääkimisi ja tõrge on liikunud lüli ülesehitamisse. Üleminek 720-lt 691-le tähendab, et lüli tuli üles ja lüüs lükkas identiteedi tagasi. Kui rakendad viit parandust korraga, kaotad selle signaali ega saa öelda, milline muudatus töötas.

789: vali tee ja kohaliku reegli vahel

Kood 789 on töötlemisviga esmaste turvaläbirääkimiste ajal. IPsec ei loonud kunagi kasutatavat assotsiatsiooni, seega pole kontot veel testitud. Alusta teest ja jagatud võtmest, mitte kontost.

Kinnita, et UDP 500 ja UDP 4500 jõuavad serverini ning et eelnevalt jagatud võti ühtib bait-baidilt, sealhulgas suur- ja väiketähed ning lõpus olevad tühikud. Kui server on NAT-i taga, võib Windows vajada ka dokumenteeritud registriväärtust. Kasuta 1, kui server on NAT-i taga, ja 2, kui mõlemad otsad on, seejärel taaskäivita, sest poliitikaagent loeb väärtust käivitamisel:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Raskem adapteriparandus kuulub teise haru juurde. Wi-Fi-seadme ja WAN-miniportide eemaldamine ning seejärel riistvara uuesti skaneerimine on õigustatud siis, kui kohalik IPsec-virn ise on kahjustatud ja teised VPN-tüübid nurjuvad samamoodi. See on raisatud vaev, kui nurjub ainult üks L2TP-server, samal ajal kui kõik teised võrguteed töötavad.

720: vali selle adapteri ja serveripargi vahel

Viga 720 teatab, et ühendust kaugarvutiga ei saanud luua, ja see ilmub pärast seda, kui IPsec õnnestus. Tunnel jõudis punkti, kus liides tõstetakse üles või aadress saadakse, ja peatus seejärel. See teeb sellest kohaliku adapteri küsimuse või serveri mahutavuse küsimuse.

Otsustamiseks kasuta mõjuraadiust. Ühe Windowsi masina nurjumine viitab vigasele WAN-minipordile, peatatud Remote Accessi teenusele või rikutud ühendusprofiilile. Mitme kliendi nurjumine samal ajal viitab serverile: ammendunud aadressipark, peatatud RRAS-i teenus või park, mis ei vasta enam kliendi alavõrgule. Paranda see pool, millele muster viitab, enne kui muudad teist.

Ühe kliendi harus eemalda WAN-minipordid üks kord ja skaneeri riistvaramuudatusi, seejärel taaskäivita ja proovi uuesti. Serveri harus kontrolli parki ja teenuse olekut, mitte klienti, sest töötava adapteri uuesti paigaldamine ei saa luua aadressi, mida serveril pole.

691: vali mandaadi ja peatatud abilise vahel

Kood 691 on autentimise tagasilükkamine ja see on kood, mida kõige sagedamini loetakse valesti vale paroolina. Tunnel on üleval, lüüs nägi identiteeti ja lükkas selle tagasi. Põhjus võib siiski olla väljaspool parooli välja.

Kontrolli esmalt domeeni välja, seejärel parooli täpseid märke. Tühikut, jutumärki või kesta erimärki sisaldav parool võib enne serverini jõudmist moonduda; Linuxis pppd teatab sama tagasilükkamise kui E=691 jutumärkideta väärtuse või puuduva domeeni korral. Kirjuta saladus uuesti, selle asemel et see kleepida, ja kustuta kõik salvestatud mandaadid, mis võivad sisaldada vanemat väärtust.

Haru, mille inimesed kahe silma vahele jätavad, on peatatud abiteenus. Kui tarnija klient sõltub oma teenusest, et mandaate lüüsile edastada, tekitab keelatud või kokku jooksnud teenus 691 ka siis, kui parool on õige. Kontrolli tarnija teenuse olekut enne konto lähtestamist, eriti pärast taaskäivitust või uuendust.

Harude eristamiseks testi sama kasutajanime teise töötava VPN-profiili või RADIUSi testkontoga. Kui see õnnestub, on mandaat korras ja kohalik klienditee kahtlane. Kui see nurjub samamoodi, on probleem kontos või lüüsi reeglis.

Muuda iga katse kohta ühte kihti

Tööta väljast sissepoole: kättesaadavus ja NAT-i läbimine, seejärel eelnevalt jagatud võti, seejärel kohalik adapterivirn, seejärel mandaat, seejärel serveripark ja teenused. See järjekord järgib etappe, mida koodid kirjeldavad, ja hoiab iga tulemuse ühele muudatusele omistatavana.

Pea lühikest logi koodist enne ja pärast iga katset, kliendi versioonist ja sellest, kas muudeti serverit või klienti. Jada nagu 789, seejärel 720, seejärel 691 on edenemise kaart; sama kood kaks korda tähendab, et viimane muudatus ei käsitlenud seda etappi. Windowsi uuesti paigaldamine kustutab selle kaardi ja parandab harva tõrget, mis elab lüüsil.

Kui kood lakkab muutumast, lõpeta asjade muutmine. Registreeri praegune kood, serveri aadress, autentimismeetod ja katse aeg, seejärel võrdle seda kirjet töötava kliendiga. Kahe kirje erinevus on tavaliselt väiksem kui nimekiri parandustest, mida inimesed vaikimisi proovivad.