L2TP/IPsec-flater 789, 720 of 691: meitsje earst de goede etappe yn oarder

Windows 11 meldt in oar nûmer foar elke L2TP/IPsec-etappe, en dat nûmer markearret in etappe ynstee fan de flater te beoardieljen. 789 mislearret foar't de PPP-ferbining bestiet, 720 mislearret wylst de ferbining omheech brocht wurdt, en 691 mislearret neidat de ferbining omheech is en de oanmeldgegevens wegere wurde. De nuttige beslissing is net hokker reparaasje it populêrst is; it is hokker etappe de koade bewiist dat jo berikt hawwe. Lês dat earst, en feroarje dan ien laach per besykjen sadat de folgjende koade jo noch wat seit.

Lês de koade as in etappe, net as in list fan flaters

In L2TP-ferbining krúst trije grinzen yn in fêste oarder. IKE ûnderhannelet befeiligingsassosjaasjes oer UDP 500, NAT-trochgong ferpleatst dat ferkear nei UDP 4500, en pas dêrnei draacht de L2TP-tunnel in PPP-sesje dy't de brûker autentisearret en in adres tawijt.

Dy oarder is wêrom't in feroarjende flaterkoade nuttich bewiis is. Fan 789 nei 720 gean betsjut dat IPsec no ûnderhannelet en dat de flater nei it opbouwen fan de ferbining ferhuze is. Fan 720 nei 691 gean betsjut dat de ferbining omheech gie en dat de gateway de identiteit wegere. As jo fiif reparaasjes tagelyk tapasse, ferlieze jo dat sinjaal en kinne jo net sizze hokker feroaring wurke.

789: kies tusken it paad en it pleatslike belied

Koade 789 is in ferwurkingsflater by de earste befeiligingsûnderhannelingen. IPsec makke nea in brûkbere assosjaasje, dus it akkount is noch net test. Begjin mei it paad en de dielde kaai, net mei it akkount.

Befêstigje dat UDP 500 en UDP 4500 de server berikke en dat de foarôf dielde kaai byte foar byte oerienkomt, ynklusyf haadletters en efterste spasjes. As de server efter NAT stiet, hat Windows miskien ek de dokumintearre registerwearde nedich. Brûk 1 as de server efter NAT stiet en 2 as beide kanten dat binne, en start dan opnij, want de beliedsagent lêst de wearde by it opstarten:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

De swierdere adapterreparaasje heart by de oare tûke. It Wi-Fi-apparaat en de WAN-minipoarten fuorthelje en dan nei hardware sykje, is rjochtfeardige as de pleatslike IPsec-stapel sels skansearre is en oare VPN-typen op deselde manier mislearje. It is fergriemde muoite as mar ien L2TP-server mislearret wylst elk oar netwurkpaad wurket.

720: kies tusken dizze adapter en de servergroep

Flater 720 meldt dat de ferbining mei de fiere kompjûter net makke wurde koe, en hy ferskynt neidat IPsec slagge is. De tunnel berikte it punt fan in interface omheech bringe of in adres krijen, en stoppe doe. Dat makket it in fraach fan pleatslike adapter of fan serverkapasiteit.

Brûk de ynfloedsradius om te beslissen. Ien Windows-masine dy't mislearret wiist op in minne WAN-minipoart, in stoppe Remote Access-tsjinst of in skansearre ferbiningsprofyl. Ferskate kliïnten dy't tagelyk mislearje, wize op de server: in útputte adresgroep, in stoppe RRAS-tsjinst of in groep dy't net mear by it kliïntsubnet past. Reparearje de kant dy't it patroan oanwiist foar't jo de oare feroarje.

Op de tûke fan ien kliïnt helje jo de WAN-minipoarten ien kear fuort en sykje jo nei hardwareferoarings, starte dan opnij en probearje it wer. Op de servertûke kontrolearje jo de groep en de tsjinststatus ynstee fan de kliïnt, want it opnij ynstallearjen fan in wurkjende adapter kin gjin adres meitsje dat de server net hat.

691: kies tusken de oanmeldgegevens en in stoppe helper

Koade 691 is in ôfwizing fan autentikaasje, en it is de koade dy't it meast ferkeard lêzen wurdt as in ferkeard wachtwurd. De tunnel is omheech, de gateway hat in identiteit sjoen, en hy hat de identiteit wegere. De oarsaak kin noch bûten it wachtwurdfjild sitte.

Kontrolearje earst it domeinfjild, dan de krekte tekens yn it wachtwurd. In wachtwurd mei in spaasje, in oanhellingsteken of in shell-spesjaal teken kin skansearre wurde foar't it de server berikt; op Linux, pppd meldt deselde ôfwizing as E=691 foar in wearde sûnder oanhellingstekens of in ûntbrekkend domein. Typ it geheim opnij ynstee fan it te plakken, en wiskje alle bewarre oanmeldgegevens dy't in âldere wearde hawwe kinne.

De tûke dy't minsken misse is in stoppe helpstsjinst. As in leveransierskliïnt fan syn eigen tsjinst ôfhinklik is om oanmeldgegevens nei de gateway te stjoeren, produsearret in útskeakele of crashte tsjinst 691 sels as it wachtwurd goed is. Kontrolearje de tsjinststatus fan de leveransier foar't jo it akkount weromsette, benammen nei in opnij starten of in update.

Om de tûken te skieden, testje jo deselde brûkersnamme tsjin in oar wurkjend VPN-profyl of in RADIUS-testakkount. As dat slagget, is de oanmeldgegevens goed en is it pleatslike kliïntpaad fertocht. As it op deselde manier mislearret, is it akkount of it gatewaybelied it probleem.

Feroarje ien laach per besykjen

Wurkje fan bûten nei binnen: berikberens en NAT-trochgong, dan de foarôf dielde kaai, dan de pleatslike adapterstapel, dan de oanmeldgegevens, dan de servergroep en tsjinsten. Dy oarder folget de etappes dy't de koades beskriuwe en hâldt elk resultaat taskriuwber oan ien feroaring.

Hâld in koarte log by fan de koade foar en nei elk besykjen, fan de kliïntferzje, en fan oft de server of de kliïnt feroare is. In searje lykas 789, dan 720, dan 691 is in kaart fan foarútgong; deselde koade twa kear betsjut dat de lêste feroaring dy etappe net oanpakt hat. It opnij ynstallearjen fan Windows wisket dizze kaart en reparearret selden in flater dy't by de gateway wennet.

As de koade ophâldt te feroarjen, stopje dan mei dingen te feroarjen. Registrearje de hjoeddeiske koade, it serveradres, de autentikaasjemetoade en de tiid fan it besykjen, en fergelykje dat record dan mei in kliïnt dy't wurket. It ferskil tusken de twa records is meastentiids lytser as de list fan reparaasjes dy't minsken standert probearje.