L2TP/IPsec-virhe 789, 720 tai 691: korjaa ensin oikea vaihe

Windows 11 ilmoittaa eri numeron jokaiselle L2TP/IPsec-vaiheelle, ja numero merkitsee vaihetta sen sijaan että se arvostelisi vian. 789 epäonnistuu ennen kuin PPP-yhteys on olemassa, 720 epäonnistuu yhteyden noustessa ja 691 epäonnistuu sen jälkeen kun yhteys on ylhäällä ja tunnistetiedot hylätään. Hyödyllinen päätös ei ole se, mikä korjaus on suosituin; vaan se, minkä vaiheen koodi todistaa sinun saavuttaneen. Lue se ensin ja vaihda sitten yksi kerros yritystä kohden, jotta seuraava koodi kertoo sinulle vielä jotain.

Lue koodi vaiheena, älä vikaluettelona

L2TP-yhteys ylittää kolme rajaa kiinteässä järjestyksessä. IKE neuvottelee turva-assosiaatiot UDP 500:n yli, NAT-läpäisy siirtää liikenteen UDP 4500:lle, ja vasta sitten L2TP-tunneli kuljettaa PPP-istuntoa, joka todentaa käyttäjän ja jakaa osoitteen.

Juuri tämä järjestys tekee muuttuvasta virhekoodista hyödyllisen todisteen. Siirtyminen 789:stä 720:een tarkoittaa, että IPsec neuvottelee nyt ja vika on siirtynyt yhteyden pystyttämiseen. Siirtyminen 720:stä 691:een tarkoittaa, että yhteys nousi ja yhdyskäytävä hylkäsi identiteetin. Jos käytät viittä korjausta kerralla, menetät tämän signaalin etkä voi sanoa, mikä muutos toimi.

789: valitse polun ja paikallisen käytännön välillä

Koodi 789 on käsittelyvirhe alkuvaiheen turvaneuvotteluissa. IPsec ei koskaan tuottanut käyttökelpoista assosiaatiota, joten tiliä ei ole vielä testattu. Aloita polusta ja jaetusta avaimesta, älä tilistä.

Varmista, että UDP 500 ja UDP 4500 tavoittavat palvelimen ja että esijaettu avain täsmää tavu tavulta, mukaan lukien kirjainkoko ja lopussa olevat välilyönnit. Jos palvelin on NAT:n takana, Windows voi tarvita myös dokumentoidun rekisteriarvon. Käytä arvoa 1, kun palvelin on NAT:n takana, ja arvoa 2, kun molemmat päät ovat, ja käynnistä sitten uudelleen, koska käytäntöagentti lukee arvon käynnistyksessä:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Raskaampi sovittimen korjaus kuuluu toiseen haaraan. Wi-Fi-laitteen ja WAN-miniporttien poistaminen ja laitteiston uudelleenskannaus on perusteltua, kun paikallinen IPsec-pino itsessään on vaurioitunut ja muut VPN-tyypit epäonnistuvat samalla tavalla. Se on hukattua vaivaa, kun vain yksi L2TP-palvelin epäonnistuu ja kaikki muut verkkopolut toimivat.

720: valitse tämän sovittimen ja palvelinpoolin välillä

Virhe 720 ilmoittaa, että yhteyttä etätietokoneeseen ei voitu muodostaa, ja se ilmestyy sen jälkeen kun IPsec onnistui. Tunneli saavutti pisteen, jossa liitäntä nostetaan tai osoite hankitaan, ja pysähtyi sitten. Tämä tekee siitä paikallisen sovittimen kysymyksen tai palvelimen kapasiteetin kysymyksen.

Käytä vaikutussädettä päätöksentekoon. Yhden Windows-koneen epäonnistuminen viittaa vialliseen WAN-miniporttiin, pysäytettyyn Remote Access -palveluun tai vioittuneeseen yhteysprofiiliin. Usean asiakkaan epäonnistuminen samaan aikaan viittaa palvelimeen: tyhjentynyt osoitepooli, pysäytetty RRAS-palvelu tai pooli, joka ei enää vastaa asiakkaan aliverkkoa. Korjaa se puoli, johon kuvio viittaa, ennen kuin muutat toista.

Yhden asiakkaan haarassa poista WAN-miniportit kerran ja skannaa laitteistomuutokset, käynnistä sitten uudelleen ja yritä uudelleen. Palvelinhaarassa tarkista pooli ja palvelun tila asiakkaan sijaan, koska toimivan sovittimen uudelleenasennus ei voi luoda osoitetta, jota palvelimella ei ole.

691: valitse tunnistetiedon ja pysäytetyn avustajan välillä

Koodi 691 on todennuksen hylkäys, ja se on koodi, joka useimmin luetaan väärin vääräksi salasanaksi. Tunneli on ylhäällä, yhdyskäytävä näki identiteetin ja hylkäsi sen. Syy voi silti olla salasanakentän ulkopuolella.

Tarkista ensin toimialuekenttä ja sitten salasanan tarkat merkit. Salasana, jossa on välilyönti, lainausmerkki tai kuoren erikoismerkki, voi turmeltua ennen kuin se saavuttaa palvelimen; Linuxissa pppd ilmoittaa saman hylkäyksen kuin E=691 arvolle ilman lainausmerkkejä tai puuttuvalle toimialueelle. Kirjoita salaisuus uudelleen sen sijaan että liität sen, ja tyhjennä kaikki tallennetut tunnistetiedot, joissa voi olla vanhempi arvo.

Haara, jonka ihmiset ohittavat, on pysäytetty apupalvelu. Kun toimittajan asiakasohjelma nojaa omaan palveluunsa välittääkseen tunnistetiedot yhdyskäytävälle, poistettu tai kaatunut palvelu tuottaa 691, vaikka salasana olisi oikea. Tarkista toimittajan palvelun tila ennen tilin nollaamista, erityisesti uudelleenkäynnistyksen tai päivityksen jälkeen.

Erota haarat testaamalla sama käyttäjänimi toista toimivaa VPN-profiilia tai RADIUS-testitiliä vasten. Jos se onnistuu, tunnistetieto on kunnossa ja paikallinen asiakaspolku on epäilyttävä. Jos se epäonnistuu samalla tavalla, ongelma on tilissä tai yhdyskäytävän käytännössä.

Vaihda yksi kerros yritystä kohden

Työskentele ulkoa sisäänpäin: tavoitettavuus ja NAT-läpäisy, sitten esijaettu avain, sitten paikallinen sovitinpino, sitten tunnistetieto, sitten palvelinpooli ja palvelut. Tämä järjestys seuraa vaiheita, jotka koodit kuvaavat, ja pitää jokaisen tuloksen liitettävissä yhteen muutokseen.

Pidä lyhyttä lokia koodista ennen ja jälkeen jokaisen yrityksen, asiakasohjelman versiosta ja siitä, muutettiinko palvelinta vai asiakasta. Sarja kuten 789, sitten 720, sitten 691 on edistymisen kartta; sama koodi kahdesti tarkoittaa, että viimeinen muutos ei käsitellyt kyseistä vaihetta. Windowsin uudelleenasennus pyyhkii tämän kartan eikä juuri korjaa vikaa, joka elää yhdyskäytävässä.

Kun koodi lakkaa muuttumasta, lakkaa muuttamasta asioita. Tallenna nykyinen koodi, palvelimen osoite, todennusmenetelmä ja yrityksen aika ja vertaa sitten tätä tietuetta toimivaan asiakkaaseen. Kahden tietueen ero on yleensä pienempi kuin luettelo korjauksista, joita ihmiset kokeilevat oletuksena.