Erreur VPN 10051 : votre route, pas votre mot de passe

Un tunnel Windows échoue et le journal propose le numéro 10051. C'est WSAENETUNREACH, signalé quand une opération de socket ne trouve aucun chemin utilisable vers la destination. Ce n'est pas un mot de passe rejeté, un certificat expiré ni la preuve que le serveur a vu un paquet de tunnel et l'a refusé.

Deux opérations différentes peuvent le produire dans une même session. Elles signifient des choses différentes et appartiennent à des propriétaires différents.

Ce que le code signale et ce qu'il ne signale pas

L'erreur décrit une décision locale : la pile n'a pas pu trouver de route vers la destination demandée, donc l'opération n'a jamais quitté la machine. C'est une affirmation sur le chemin, pas sur l'avis de l'homologue concernant vos identifiants. La lire comme un échec d'authentification vous envoie dans les magasins de certificats et vers des réinitialisations de compte pour un problème qu'ils ne peuvent pas causer. Le code ne dit rien non plus sur le fait qu'un pare-feu en aval aurait autorisé le paquet, car aucun paquet n'a été envoyé.

Conservez les lignes de journal environnantes lorsque vous l'enregistrez. Le numéro seul perd la destination, le transport et le moment, et ces trois faits sont ce qui rend l'entrée interprétable une semaine plus tard.

Quelle opération a échoué, et quand

Une erreur pendant que le client atteint le point de terminaison externe du VPN est un cas différent d'une défaillance d'application après l'établissement du tunnel. Dans le premier, le chemin de transport vers le serveur manque ou a été retiré. Dans le second, le tunnel existe et quelque chose à l'intérieur ne peut pas résoudre ou router la destination demandée. Même code, autre couche, autre propriétaire. L'horodatage par rapport à la tentative de connexion tranche généralement lequel vous avez.

Citez l'opération qui a échoué plutôt que l'erreur seule : connexion à quelle adresse, par quel transport et à quel point de la séquence. C'est cette formulation qui permet à une seconde personne de reproduire la décision.

Comparez le point de terminaison et la famille d'adresses

Notez la destination résolue, le transport et le port. Si le nom renvoie à la fois une adresse IPv4 et une adresse IPv6, une vérification IPv4 qui fonctionne n'explique rien sur une tentative IPv6 échouée. Le client essaie peut-être la famille que vous n'avez jamais testée, et forcer l'autre famille change l'expérience au lieu de la corriger.

Resolve-DnsName vpn.example.net -Type A,AAAA
Find-NetRoute -RemoteIPAddress 198.51.100.62
Get-NetConnectionProfile

La requête de route renvoie la meilleure adresse locale et la route pour cette destination dans l'état actuel, alors exécutez-la pendant que la panne est présente. Un adaptateur déconnecté, un réseau modifié ou une route inattendue semblent tous différents après la réinitialisation de tout. Un second tunnel actif peut aussi capturer le chemin du point de terminaison, ce qui produit ce code pour un client et pas pour l'autre.

Rappelez-vous ce qu'est une réponse de route : une décision locale, pas une autorisation d'envoyer. Elle ne peut pas vous dire si un pare-feu accepterait le datagramme ni si quelque chose écoute à l'autre bout.

Autres erreurs de socket et la transmission

L'erreur 10054 est un rapport différent et, sur une réception UDP, elle peut faire apparaître un ICMP port inaccessible associé à un envoi antérieur. C'est un message sur un port de destination précis, pas une affirmation qu'aucune route n'existe, et les deux mènent à des enquêtes différentes. Traiter chaque numéro de socket comme une variante d'échec de connexion est la façon dont une route manquante est 'réparée' en réinstallant un client.

La transmission utile contient le code exact, l'opération échouée, le point de terminaison et la famille d'adresses, la route sélectionnée et l'heure de tout changement de réseau. Corrigez le problème de chemin démontré par l'intermédiaire de celui qui possède cette configuration. Remplacer des certificats ou désactiver la vérification de l'homologue ne peut pas fournir une route qui n'existe pas, et les deux rendent le diagnostic final plus difficile.