Windowsin VPN ei yhdistä? Sovita koodi tapahtumalokiin

Perjantaina se toimi. Maanantaina sama Windows-asiakas vastaa valintaikkunalla, joka kertoo yhteydenottoyrityksen epäonnistuneen, ja sen alla oleva lause on sellainen, jonka olet jo nähnyt tusinalle toisiinsa liittymättömiä ongelmia. Se valintaikkuna on ketjun loppu, ei sen alku. Windows piilottaa vaiheen, jossa yritys todella kuoli, ja kaksi pientä todistetta nimeää sen: numeerinen tuloskoodi ja yksi RasClient-tapahtuma samalta minuutilta. Tässä on järjestys, jota käytän — kiinnitä yritys, lue koodi, hae tapahtuma ja muuta sitten täsmälleen yhtä kerrosta.

Valintaikkunan teksti on viimeinen askel, ei syy

Lause, jonka luet, valitaan sen jälkeen, kun yritys on jo purkautunut. "Yhteys katkaistiin etätietokoneen toimesta ennen kuin yhteys muodostettiin" ilmestyy, kun palvelin lopettaa neuvottelun keskellä, kun IPsec epäonnistui ennen kuin käyttäjänimesi edes lähetettiin, ja kun käytäntö hylkäsi tunnelin suoraan. Kolme eri omistajaa, yksi lause. Kohtele sanamuotoa oireluokkana äläkä anna sen ohjata mitään ennen kuin koodi on samaa mieltä.

Sen, minkä voit vielä kiinnittää, on yritys itse. Kirjoita ylös yhteyden nimi, profiiliin tallennettu tunnelityyppi — PPTP, L2TP/IPsec, SSTP tai IKEv2 — aika sekunnin tarkkuudella ja koodi. Jos et ole varma, mikä protokolla todella toimi, avaa %APPDATA%\Microsoft\Network\Connections\Pbk\rasphone.pbk ja lue merkintä sen sijaan, että luottaisit muistiin; uudelle protokollalle uudelleen käytetty profiili säilyttää vanhan näyttönimensä.

Lue numero ennen kuin luet sanat

Koodit jakautuvat kolmeen vaiheeseen, ja vaihe on tärkeämpi kuin täsmällinen sanamuoto: todennusvaihto, johon päästiin ja joka hylättiin, palvelin, joka ei koskaan vastannut, tai neuvottelu, joka romahti linkin noustua. 691 on ensimmäistä lajia — tunnistetietojen tarkistus ajettiin ja se epäonnistui, olipa syynä huono salasana, lukittu tai vanhentunut tili tai todennusprotokolla, jota palvelin ei hyväksy. 812 on myös hylkäys, mutta kelvollisilla tunnistetiedoilla: etäkäyttöpalvelimen käytäntö päätti sinua vastaan. Microsoft ylläpitää kanonista luetteloa valinta- ja VPN-yhteyksien virhekoodeista, ja kannattaa lukea numerosi sieltä ennen kuin etsit viestin tekstiä.

809 on vastakkainen luokka: mitään ei tullut takaisin. Se on reittiongelma — TCP 443 suodatettu SSTP:tä varten, GRE estetty PPTP:tä varten, UDP 500 ja 4500 tai ESP pudotettu IPsec-läpikulun vuoksi. Uusi salasana ei korjaa sitä eikä tuore sertifikaattikaan. 720 tarkoittaa, että linkki nousi ja PPP ei koskaan saanut neuvottelua valmiiksi, mikä viittaa protokollan yhteensopimattomuuteen tai palvelimeen, joka ei pystynyt osoittamaan osoitetta. 789, tai 13801 IKEv2:ssa, on identiteetti IPsecin sisällä: sertifikaatti, jonka subjekti ei vastaa valitsemaasi nimeä, epäluotettu ketju tai ennalta jaettu avain, joka eroaa kahden pään välillä.

Hae saman minuutin RasClient-tapahtuma

Tapahtumien katsomossa Windows Logs > Application lähteen RasClient mukaan suodatettuna on ensimmäinen paikka katsoa. Microsoftin kuvaus virheestä 720 viittaa tapahtumaan 20227 siinä lokissa. Sama tarjoaja lähettää muita tunnisteita muita tuloksia varten, joten lue viesti ja siihen upotettu tuloskoodi sen sijaan, että pitäisit tunnistetta diagnoosina; yleinen valintaikkuna plus 20227, joka kantaa 720:tä, on jo paljon kapeampi tarina.

PowerShellistä, ilman että klikkaat GUI:n läpi:

Get-WinEvent -FilterHashtable @{
  LogName      = 'Application'
  ProviderName = 'RasClient'
  StartTime    = (Get-Date).AddMinutes(-15)
} | Format-List TimeCreated, Id, Message

Tyhjä tulos on informatiivinen. Se tarkoittaa yleensä, että valinta ei koskaan edennyt niin pitkälle, että RAS olisi kirjannut mitään, tai että epäonnistunut ohjelmisto ei ole lainkaan natiiviasiakas — kolmannen osapuolen asiakkaat pitävät omaa diagnostiikkaansa eivätkä usein kirjoita mitään Application-lokiin. Tarkista toimittajan loki ennen kuin päättelet, että tapahtumien kirjaaminen on rikki.

Rakenna yksi aikajana tapahtumakasan sijaan

Uudelleenyrityssilmukat tuottavat melua. Viisi automaattista uudelleenyhdistämistä jättää tapahtumaryppään, ja kiusaus on lukea ne yhtenä sarjana, jolla on yksi syy. Ne ovat viisi erillistä yritystä, ja vain osa niistä saavutti palvelimen. Ota kahden tai kolmen minuutin ikkuna, yksi yhteyden nimi ja luettele jokainen tapahtuma omalla koodillaan ennen kuin tulkitset mitään.

Kysy sitten, mihin yritys pysähtyi. Kun yhdyskäytävällä tai todennuksen taustajärjestelmällä ei ole merkintää kyseisestä aikaleimasta, asiakas ei koskaan saavuttanut sitä, ja katsot tavoitettavuusongelmaa. Kun taustajärjestelmä näyttää pyynnön ja hylkäyksen, päätös tehtiin siellä, ja tunnistetieto- tai käytäntöluokka pätee. Vertaa kelloja ennen kuin vertaat aikoja: asiakkaat ilmoittavat paikallisen ajan, monet yhdyskäytävät kirjaavat UTC:nä, ja ero saa täydellisesti korreloituneen parin näyttämään liittymättömältä.

Toistettavaa tallennusta varten valitse komentoriviltä ja anna sen tulostaa tulos:

rasdial "Office VPN"
rasdial "Office VPN" /disconnect

Konsoli näyttää numeron, jonka GUI kätkee ystävällisen tekstin taakse, ja kahdesti ajaminen kertoo, onko koodi vakaa vai ajoittainen.

Mitä kukin vaihe kehottaa muuttamaan

Vaiheen nimeäminen on hyödyllistä vain, jos se kutistaa muutosjoukon yhteen kerrokseen:

• 691 — todennus: EAP-menetelmä, jota asiakas tarjoaa, vastaan se, jonka palvelin hyväksyy, tilin tila, salasanan vanheneminen, sisäänvalintaoikeus.
• 812 — palvelimen käytäntö: etäkäyttökäytäntö tai NPS-sääntö, joka vastaa tätä käyttäjää ja tätä aikaikkunaa.
• 809 — tavoitettavuus: palomuurisäännöt reitillä, NAT ja protokollan läpikulku, portti, jonka valittu tunnelityyppi tarvitsee.
• 720 — PPP-neuvottelu: todennusprotokollan yhteensopimattomuus, osoitteen osoittaminen, palvelinpuolen PPP-asetus.
• 789 / 13801 — IPsec-identiteetti: sertifikaatin subjekti vastaan nimi, jonka valitset, luottamusketju, ennalta jaettu avain.

Muuta yhtä niistä, testaa sama profiili uudelleen ja kirjoita uusi koodi muistiin. Erilainen koodi muutoksen jälkeen on edistystä eikä ristiriita: siirsit vian myöhempään vaiheeseen, ja siltä monivaiheisen kättelyn korjaaminen näyttää. Sitä sinun ei pitäisi tehdä: muuttaa palomuuria, sertifikaattia ja salasanaa yhdellä istumalla ja antaa sitten kunnia sille, joka tuli viimeisenä.

Jaa todisteet, älä ympäristöä

Tapahtumaviestit ovat rikkaampia kuin miltä näyttävät. Ne kantavat yhteyden nimen, tilin, usein yhdyskäytävän sisäisen nimen tai osoitteen ja joskus sertifikaatin sormenjäljen. Pidä alkuperäinen siellä, minne se kuuluu, ja rakenna erillinen muokattu kopio kenelle tahansa muulle; aikajanan uudelleenkirjoittaminen muistista kadottaa juuri ne yksityiskohdat, jotka tekevät siitä hyödyllisen.

Työn alle tuleva luovutus tarvitsee viisi kenttää: koodi, vaihe johon se kuuluu, asiakas ja tunnelityyppi, aikaleima aikavyöhykkeineen ja se, näkikö yhdyskäytävä pyynnön lainkaan. Kaikki muu on valinnaista. Näillä viidellä seuraava voi erottaa tunnistetietoväittelyn reititysväittelystä toistamatta tutkimusta.

Ennen kuin suljet mitään, toista yritys samalla profiililla ja varmista, mihin koodi nyt laskeutuu. Onnistuminen päättää sen; erilainen epäonnistuminen tarkoittaa, että alkuperäinen vaihe on korjattu ja seuraava on käsissäsi.