Windowsi VPN ei ühenda? Sobita kood sündmustelogiga

Windowsi VPN-i dialoog peidab nurjunud etapi. Lugege tulemuse kood, tõmmake selle katse jaoks RasClienti sündmus ja muutke ainult seda kihti, mis katki läks.

Reedel see töötas. Esmaspäeval vastab sama Windowsi klient dialoogiga, mis ütleb, et ühenduskatse ebaõnnestus, ja selle all olev lause on üks, mida olete juba näinud tosina ebaolulise probleemi puhul. See dialoog on ahela lõpp, mitte algus. Windows peidab etapi, kus katse tegelikult suri, ja kaks väikest tõendit nimetavad selle: numbriline tulemuse kood ja üks RasClienti sündmus samast minutist. Siin on järjekord, mida ma kasutan — kinnita katse, loe kood, tõmba sündmus ja seejärel muuda täpselt ühte kihti.

Dialoogi tekst on viimane samm, mitte põhjus

Lause, mida loete, valitakse pärast seda, kui katse on juba lahti kerinud. "Ühendus katkestati kaugarvuti poolt enne ühenduse loomist" ilmub siis, kui server paneb toru ära keset läbirääkimist, kui IPsec ebaõnnestus enne, kui teie kasutajanimi üldse saadeti, ja kui poliitika keeldus tunnelist otse. Kolm erinevat omanikku, üks lause. Käsitlege sõnastust sümptomiklassina ja ärge laske sellel midagi juhtida, kuni kood sellega nõustub.

Mida saate veel kinnitada, on katse ise. Kirjutage üles ühenduse nimi, profiili salvestatud tunnelitüüp — PPTP, L2TP/IPsec, SSTP või IKEv2 — kellaaeg sekundi täpsusega ja kood. Kui te pole kindel, milline protokoll tegelikult töötas, avage %APPDATA%\Microsoft\Network\Connections\Pbk\rasphone.pbk ja lugege kirjet, selle asemel et mälu usaldada; uue protokolli jaoks uuesti kasutatud profiil hoiab oma vana kuvanime.

Lugege numbrit enne, kui loete sõnu

Koodid jagunevad kolme etappi ja etapp loeb rohkem kui täpne sõnastus: autentimisvahetus, milleni jõuti ja mis keelduti, server, mis ei vastanud kunagi, või läbirääkimine, mis varises kokku pärast lingi tõusmist. 691 on esimest liiki — mandaadi kontroll jooksis ja ebaõnnestus, olgu siis halva parooli, lukustatud või aegunud konto või autentimisprotokolli tõttu, mida server ei aktsepteeri. 812 on samuti keeldumine, kuid kehtivate mandaatidega: kaugjuurdepääsu serveri poliitika otsustas teie vastu. Microsoft hoiab kanoonilist valimis- ja VPN-ühenduse veakoodide loendit ja tasub lugeda oma numbrit seal enne, kui hakkate sõnumi teksti otsima.

809 on vastupidine klass: midagi ei tulnud tagasi. See on tee probleem — TCP 443 filtreeritud SSTP jaoks, GRE blokeeritud PPTP jaoks, UDP 500 ja 4500 või ESP langetatud IPsec-i läbimise jaoks. Uus parool ei saa seda parandada ja värske sertifikaat samuti mitte. 720 tähendab, et link tõusis ja PPP ei lõpetanud kunagi läbirääkimist, mis viitab protokolli sobimatusele või serverile, mis ei suutnud aadressi määrata. 789 või 13801 IKEv2 puhul on identiteet IPsec-i sees: sertifikaat, mille subjekt ei vasta nimele, millele helistate, mitteusaldusväärne ahel või eelnevalt jagatud võti, mis erineb kahe otsa vahel.

Tõmmake sama minuti RasClienti sündmus

Sündmustevaaturis on Windows Logs > Application allika RasClient järgi filtreerituna esimene koht, kuhu vaadata. Microsofti kirjeldus vea 720 kohta viitab sündmusele 20227 selles logis. Sama pakkuja väljastab teiste tulemuste jaoks teisi identifikaatoreid, seega lugege sõnumit ja sellesse põimitud tulemuse koodi, selle asemel et käsitleda ID-d diagnoosina; üldine dialoog pluss 20227, mis kannab 720, on juba palju kitsam lugu.

PowerShellist, ilma GUI kaudu klõpsamata:

Get-WinEvent -FilterHashtable @{
  LogName      = 'Application'
  ProviderName = 'RasClient'
  StartTime    = (Get-Date).AddMinutes(-15)
} | Format-List TimeCreated, Id, Message

Tühi tulemus on informatiivne. Tavaliselt tähendab see, et valimine ei jõudnud kunagi nii kaugele, et RAS midagi logiks, või et nurjunud tarkvara ei ole üldse natiivne klient — kolmandate osapoolte kliendid hoiavad oma diagnostikat ja ei kirjuta sageli Application-logi midagi. Kontrollige tarnija logi enne, kui järeldate, et sündmuste logimine on katki.

Ehitage üks ajatelg sündmuste hunniku asemel

Korduskatse tsüklid tekitavad müra. Viis automaatset taasühendust jätavad sündmuste klastri ja kiusatus on lugeda neid ühe põhjusega üheks järjestuseks. Need on viis eraldi katset ja ainult mõned neist jõudsid serverini. Võtke kahe-kolme minuti aken, üks ühenduse nimi ja loetlege iga sündmus oma koodiga, enne kui midagi tõlgendate.

Seejärel küsige, kus katse peatus. Kui lüüs või autentimise taustsüsteem ei hoia selle ajatempli kohta ühtegi kirjet, ei jõudnud klient sinna kunagi ja te vaatate kättesaadavuse probleemi. Kui taustsüsteem näitab päringut ja keeldumist, tehti otsus seal ja kehtib mandaadi või poliitika klass. Võrrelge kellasid enne, kui võrdlete aegu: kliendid teatavad kohalikku aega, paljud lüüsid logivad UTC-d ja nihe muudab täiuslikult korreleeritud paari mitteseotuks.

Korratava salvestuse jaoks valige käsurealt ja laske sellel tulemus välja printida:

rasdial "Office VPN"
rasdial "Office VPN" /disconnect

Konsool näitab numbrit, mille GUI peidab sõbraliku teksti taha, ja selle kaks korda käivitamine ütleb, kas kood on stabiilne või katkendlik.

Mida iga etapp ütleb teil muuta

Etapi nimetamine on kasulik ainult siis, kui see kahandab muudatuste kogumi üheks kihiks:

  • 691 — autentimine: EAP-meetod, mida klient pakub, versus see, mida server aktsepteerib, konto olek, parooli aegumine, sissevalimise luba.
  • 812 — serveri poliitika: kaugjuurdepääsu poliitika või NPS-reegel, mis vastab sellele kasutajale ja sellele ajaaknale.
  • 809 — kättesaadavus: tulemüürireeglid teel, NAT ja protokolli läbimine, port, mida valitud tunnelitüüp vajab.
  • 720 — PPP läbirääkimine: autentimisprotokolli sobimatus, aadressi määramine, serveripoolne PPP seade.
  • 789 / 13801 — IPsec-i identiteet: sertifikaadi subjekt versus nimi, millele helistate, usaldusahel, eelnevalt jagatud võti.

Muutke ühte neist, testige sama profiili uuesti ja kirjutage uus kood üles. Muudatuse järel teistsugune kood on edasiminek, mitte vastuolu: te liigutasite tõrke hilisemasse etappi ja nii näebki mitmeetapilise käepigistuse parandamine välja. Mida te ei tohiks teha, on muuta tulemüüri, sertifikaati ja parooli ühe istumisega ning seejärel omistada au sellele, mis tuli viimasena.

Jagage tõendeid, mitte keskkonda

Sündmuste sõnumid on rikkalikumad, kui paistavad. Need kannavad ühenduse nime, kontot, sageli lüüsi sisemist nime või aadressi ja mõnikord sertifikaadi sõrmejälge. Hoidke originaali seal, kuhu see kuulub, ja ehitage kõigile teistele eraldi redigeeritud koopia; ajatelje mälu järgi ümberkirjutamine kaotab täpselt need detailid, mis teevad selle kasulikuks.

Üleandmine, millega tegeletakse, vajab viit välja: kood, etapp, kuhu see kuulub, klient ja tunnelitüüp, ajatempel koos ajavööndiga ning kas lüüs nägi päringut üldse. Kõik muu on valikuline. Nende viiega saab järgmine inimene eristada mandaadivaidlust marsruutimisvaidlusest, ilma uurimist kordamata.

Enne kui midagi sulgete, korrake katset sama profiiliga ja kinnitage, kuhu kood nüüd maandub. Edu lõpetab selle; teistsugune tõrge tähendab, et algne etapp on parandatud ja järgmine on teie käes.

Seotud artiklid