Windows VPN ferbynt net? Keppelje de koade oan it barrenloch

It wurke freed. Moandei antwurdet deselde Windows-klant mei in dialooch dy't seit dat de ferbiningpoging mislearre, en de sin derûnder is ien dy't jo al sjoen hawwe foar in dozyn net-relatearre problemen. Dy dialooch is de ein fan in ketting, net it begjin. Windows ferberget de etappe dêr't de poging echt stoar, en twa lytse bewizen neame it: de numerike resultaatkoade en ien RasClient-barren út deselde minút. Hjir is de oarder dy't ik brûk — fêstigje de poging, lês de koade, helje it barren, feroarje dan krekt ien laach.

De dialoochtekst is de lêste stap, net de oarsaak

De sin dy't jo lêze wurdt keazen neidat de poging al ôfrûn is. "De ferbining waard troch de fiere kompjûter beëinige foardat de ferbining ta stân kaam" ferskynt as in server healwei de ûnderhanneling oplegt, as IPsec mislearre foardat jo brûkersnamme ea stjoerd waard, en as in belied de tunnel fuortendaliks wegere. Trije ferskillende eigners, ien sin. Behannelje de formulearring as in symptoomklasse en lit it neat stjoere oant de koade it dermei iens is.

Wat jo noch fêstigje kinne, is de poging sels. Skriuw de ferbiningsnamme op, it tunneltype dat yn it profyl bewarre is — PPTP, L2TP/IPsec, SSTP of IKEv2 — de tiid oant de sekonde, en de koade. As jo net wis binne hokker protokol echt rûn, iepenje %APPDATA%\Microsoft\Network\Connections\Pbk\rasphone.pbk en lês de ynfier ynstee fan op jo ûnthâld te fertrouwen; in profyl dat foar in nij protokol werbrûkt wurdt, hâldt syn âlde werjefte namme.

Lês it nûmer foardat jo de wurden lêze

Koades falle yn trije etappes, en de etappe is wichtiger as de krekte formulearring: in autentikaasje-útwikseling dy't berikt en wegere waard, in server dy't nea antwurde, of in ûnderhanneling dy't ynstoarte nei't de keppeling omheech kaam. 691 is it earste soart — de kontrôle fan oanmeldgegevens rûn en mislearre, itsij troch in ferkeard wachtwurd, in beskoattele of ferrûne akkount, of in autentikaasjeprotokol dat de server net akseptearret. 812 is ek in wegering, mar mei jildige oanmeldgegevens: in belied op 'e server foar fiere tagong besleat tsjin jo. Microsoft hâldt de kanonike list fan flaterkoades foar ynbel- en VPN-ferbiningen, en it is de muoite wurdich jo nûmer dêr te lêzen foardat jo de berjochtekst sykje.

809 is de tsjinoerstelde klasse: der kaam neat werom. Dat is in paadprobleem — TCP 443 filtere foar SSTP, GRE blokkearre foar PPTP, UDP 500 en 4500 of ESP weilitten foar IPsec-trochgong. In nij wachtwurd kin dat net reparearje en in nij sertifikaat ek net. 720 betsjut dat de keppeling omheech kaam en PPP de ûnderhanneling nea einige, wat wiist op in protokolûnienigens of in server dy't gjin adres tâlitte koe. 789, of 13801 op IKEv2, is identiteit binnen IPsec: in sertifikaat wêrfan it ûnderwerp net oerienkomt mei de namme dy't jo belje, in net fertroude keatling, of in fan tefoaren dielde kaai dy't tusken de twa einen ferskilt.

Helje it RasClient-barren foar deselde minút

Yn Barrenfernster is Windows Logs > Application filtere op boarne RasClient it earste plak om te sjen. Microsoft syn beskriuwing fan flater 720 wiist nei barren 20227 yn dat loch. Deselde oanbieder stjoert oare identifikaasjes foar oare útkomsten, dus lês it berjocht en de ynbêde resultaatkoade ynstee fan it ID as de diagnoaze te behanneljen; in algemiene dialooch plus in 20227 dy't 720 draacht is al in folle smeller ferhaal.

Fan PowerShell, sûnder troch de GUI te klikken:

Get-WinEvent -FilterHashtable @{
  LogName      = 'Application'
  ProviderName = 'RasClient'
  StartTime    = (Get-Date).AddMinutes(-15)
} | Format-List TimeCreated, Id, Message

In leech resultaat is ynformatyf. It betsjut meast dat it ynbeljen nea fier genôch kaam foar RAS om wat te loggen, of dat de software dy't mislearre hielendal net de eigen klant is — tredepartij-klanten hâlde har eigen diagnostyk en skriuwe faak neat yn it Application-loch. Kontrolearje it loch fan 'e leveransier foardat jo konkludearje dat barrenlogging brutsen is.

Bou ien tiidline ynstee fan in bulte barrens

Werprobearjen-lussen meitsje lûd. Fiif automatyske werferbiningen litte in kluster barrens, en de ferlieding is om se as ien searje mei ien oarsaak te lêzen. It binne fiif aparte pogingen, en mar guon dêrfan berikten in server. Nim in finster fan twa of trije minuten, ien ferbiningsnamme, en list elke barren mei syn eigen koade op foardat jo wat dan ek ynterpretearje.

Freegje dan wêr't de poging stoppe. As de gateway of de autentikaasje-backend gjin opname foar dat tiidstimpel hat, hat de klant it nea berikt, en sjogge jo nei in berikberensprobleem. As de backend in fersyk en in wegering sjen lit, is de beslissing dêr nommen, en jildt de klasse fan oanmeldgegevens of belied. Fergelykje klokken foardat jo tiden fergelykje: klanten rapportearje lokale tiid, in protte gateways logge UTC, en in ôfwiking sil in perfekt korrelearre pear as net-relatearre lykje litte.

Foar in werhelbere opname, belje fan 'e opdrachtline en lit it it resultaat printsje:

rasdial "Office VPN"
rasdial "Office VPN" /disconnect

De konsola lit it nûmer sjen dat de GUI efter freonlike tekst ferberget, en it twa kear draaie fertelt jo oft de koade stabyl of tuskenskofts is.

Wat elke etappe jo seit te feroarjen

It neamen fan 'e etappe is allinnich nuttich as it de feroaringsset ta ien laach ferlytset:

• 691 — autentikaasje: de EAP-metoade dy't de klant oanbiedt tsjin dy't de server akseptearret, akkountstatus, ferrin fan wachtwurd, ynbelrjocht.
• 812 — serverbelied: it belied foar fiere tagong of de NPS-regel dy't by dizze brûker en dit tiidfinster past.
• 809 — berikberens: firewallregels op it paad, NAT en protokol-trochgong, de poarte dy't it keazen tunneltype nedich hat.
• 720 — PPP-ûnderhanneling: ûnienigens fan autentikaasjeprotokol, adrestawizing, in PPP-ynstelling oan 'e serverkant.
• 789 / 13801 — IPsec-identiteit: sertifikaatûnderwerp tsjin de namme dy't jo belje, fertrouwenskeatling, fan tefoaren dielde kaai.

Feroarje ien fan dy, test itselde profyl opnij, en skriuw de nije koade op. In oare koade nei in feroaring is foarútgong ynstee fan tsjinstridigens: jo hawwe it mislearjen nei in letter etappe ferpleatst, en sa sjocht it reparearjen fan in mearetaps-hânskon fan út. Wat jo net dwaan moatte is de firewall, it sertifikaat en it wachtwurd yn ien sitting feroarje en dan de eare jaan oan dy't it lêst kaam.

Diel it bewiis, net de omjouwing

Barrenchten binne riker as se lykje. Se drage de ferbiningsnamme, it akkount, faak de ynterne namme of it adres fan 'e gateway, en soms in sertifikaatfingerôfdruk. Hâld it orizjineel wêr't it heart, en bou in apart bewurke kopy foar elkenien oars; it opnij typen fan 'e tiidline út it ûnthâld ferliest krekt de details dy't it nuttich meitsje.

In oerdracht dy't behannele wurdt hat fiif fjilden nedich: de koade, de etappe dêr't er by heart, de klant en it tunneltype, it tiidstimpel mei syn tiidsône, en oft de gateway it fersyk ea seach. Al it oare is opsjoneel. Mei dy fiif kin de folgjende persoan in diskusje oer oanmeldgegevens fan in diskusje oer rûteleas ûnderskiede sûnder it ûndersyk te werheljen.

Foardat jo wat ôfslute, werhelje de poging op itselde profyl en befêstigje wêr't de koade no lânet. In súkses einiget it; in oare mislearring betsjut dat de oarspronklike etappe reparearre is en jo de folgjende yn 'e hân hawwe.