Windowsi VPN-i veakoodid: milline etapp ebaõnnestus ja mida logida

Avage Windowsi VPN-i dialoog pärast tõrget ja see annab teile numbri ja lause, kusjuures lause on tavaliselt vähem kasulik pool. Number näitab, milline ühenduse etapp ebaõnnestus, ja etapp määrab, millist logi, millist seadet ja millist meeskonda järgmisena vaadata. Etappide järjestikune läbimine võtab umbes kümme minutit ja hoiab ära tuttava järjestuse: adapterite ümberpaigaldamine, protokollide vahetamine ja virna lähtestamine, et parandada kontot, millel ei lubatud kunagi sisse helistada.

Lugege numbrit etapina

Pärisühendus läbib neli verstaposti. See jõuab serverini ja loob lingi, kaupleb turvalisuse üle, autendib kasutaja ning rakendab adresseerimise ja marsruutimise. Tõrge igas neist jätab erinevad tõendid ja ühele etapile kuuluv kood ei ütle teiste kohta midagi kasulikku.

Viga, mida vältida, on käsitleda koodi tõsidusastmena. Lingi tõrge ja autoriseerimise tõrge loetakse mõlemad kui "ei õnnestunud ühendada" ja neil pole peale selle midagi ühist. Tõsidus ütleb, kui kiireloomuline miski on; etapp ütleb, mida avada.

Esimene etapp: link ja sissehelistamiskatse

829 tähendab, et aluslink katkes. See ei ütle, kas kaugpartner lõpetas vastamise, kas vahendaja tappis sessiooni või sulges selle kliendi põhimõte. Sissehelistamise lõpetamise kood nagu 703 on veelgi varasem: katse ei jõudnudki lingini, mis osutab tavaliselt profiilile, teenuse olekule või kohalikule põhimõttele.

Get-VpnConnection -Name 'Corp' | Select-Object Name,ServerAddress,TunnelType,AuthenticationMethod,ConnectionStatus
Test-NetConnection -ComputerName vpn.example.net -Port 443
Get-WinEvent -LogName Application -MaxEvents 200 | Where-Object ProviderName -match 'RasClient' | Select-Object -First 15 TimeCreated,Id,Message

Sündmuste päring on osa, mille inimesed jätavad vahele. Kliendipoolne kirje ajatempli ja liidese nimega on väärtuslikum kui dialoog, sest see ütleb, kas katse üldse masinast lahkus. Kirje puudumine ja kuulaja vastuse puudumine tähendab kättesaadavuse probleemi ning ükski kliendi muudatus ei muuda seda.

Kui sama profiil töötab teises võrgus, peatuge siin. Kood kirjeldab tee tingimust, mitte konfiguratsiooniviga, ja järgmine kasulik võrdlus on kaks salvestust, mitte veel üks ümberpaigaldus.

Teine etapp: PPP ja minipordi sidumine

720 asub lingi ja kasutaja vahel. Tunnel tõusis ja siis ei suutnud PPP kiht läbi rääkida aadressi ega juhtprotokolli, mis on sageli kliendi sidumisprobleem, mitte tagasilükatud mandaat. See erinevus on kogu koodi väärtus: see ütleb, et mandaati ei jõutudki, seega pole konto kahtlusalune.

Get-NetAdapter -IncludeHidden | Where-Object InterfaceDescription -match 'WAN Miniport' | Select-Object Name,Status,ifIndex
Get-NetAdapterBinding | Where-Object ComponentID -match 'ms_pptp|ms_l2tp|ms_sstp|ms_agile' | Select-Object Name,ComponentID,Enabled

Nende kahe väljundi lugemine on informatiivsem kui millegi lähtestamine. Miniport, mis on olemas, kuid pole käivitatud, või teise tarkvara poolt keelatud protokollisidumine tekitab täpselt selle etapi tõrke. Mõlemat saab parandada ülejäänud virna puutumata. Täielik lähtestamine seevastu eemaldab adresseerimise ja filtreerimise oleku, millel polnud rikkega midagi pistmist.

Kolmas etapp: identiteet ja autoriseerimine

691 tähendab, et mandaadid lükati tagasi. 649 tähendab, et kontol pole sissehelistamise luba, ja 812 tähendab, et kaugjuurdepääsu põhimõte lükkas ühenduse tagasi. Need on otsused, mitte transporthäired, ja klient saab neid ainult teatada.

Tõendid on teisel poolel. Küsige lüüsi operaatorilt selle ajatempli katset ja sobivat põhimõtet; küsige kataloogi omanikult, kas kontol on sissehelistamise luba ja kas see on rühmas, mida põhimõte nõuab. Tunnelitüübi muutmine või kliendi ümberpaigaldamine ei saa muuta identiteedi kohta tehtud otsust.

Kasulik harjumus selles etapis on kirjutada piletisse täpne konto string, sealhulgas domeeni eesliide. Üllatavalt paljud 691 juhtumid on vale domeeni jaoks salvestatud mandaadid ja see on nähtav konto stringis, mitte protokolli seadetes.

Neljas etapp: ühendatud ja miski ei tööta

Ühendus võib lõppeda ja olla siiski kasutu. Sellel on aadress, klient teatab edust ja iga rakenduse päring aegub. Dialoogis ei peegelda seda miski ja vaadata pole ühtegi koodi. Sel hetkel on dialoog lõppenud ja kasulikud tõendid on mujal.

Get-NetRoute -DestinationPrefix 10.24.0.0/16 | Select-Object DestinationPrefix,NextHop,InterfaceAlias
Resolve-DnsName files.corp.example.internal
Test-NetConnection -ComputerName 10.24.6.15 -Port 445

Kui marsruut puudub, ei lükanud server seda välja või klient viskas selle ära. Kui marsruut on olemas ja nimi ebaõnnestub, on probleem lahendamises. Kui mõlemad töötavad ja rakendus ikka ebaõnnestub, olete tunnelist möödas ja rakenduse enda konfiguratsioonis.

Hoidke muudatused ühe kihi kohta testi kohta. Iga redaktsioon enne järgmist katset saab järgmise koodi konteksti osaks ja kood, mis kirjeldab teie viimast muudatust, on hullem kui koodi puudumine.

Üks katse, üks muudatus, üks kirje

Ükskõik milline etapp on, peaks kirje sisaldama koodi, sõnumit, profiili nime, ajatemplit ja võrku, milles olite. Viis välja ja igaüks neist on juba teie ees dialoogis või kliendi logis. See kogum on piisavalt väike, et piletisse kleepida, ja piisavalt konkreetne, et keegi teine saaks seda korrata.

Seejärel pange see ajatempel teise poole kirje kõrvale. Selle lehe ülaosas olev tabel ütleb, millisele etapile iga lahknevus kuulub. Ilma teise kirjeta kitsendab kood ainult otsingut; sellega on etapp otsustatud. Võrdlus on see, mis muudab numbri diagnoosiks, mitte oletuseks.

See harjumus katab peaaegu iga Windowsi VPN-i omahäire ja ükski haru ei nõua millegi ümberpaigaldamist. Dialoog ütles teile kogu aeg, milline neist teil on; töö seisneb keeldumises käsitleda neid kõiki sama probleemina.