Erro de L2TP/IPsec 789, 720 ou 691: corrixe primeiro a etapa correcta

Windows 11 informa dun número distinto para cada etapa de L2TP/IPsec, e ese número marca unha etapa en lugar de puntuar o fallo. O 789 falla antes de que exista a ligazón PPP, o 720 falla mentres se levanta a ligazón, e o 691 falla despois de que a ligazón estea arriba e se rexeiten as credenciais. A decisión útil non é que corrección é máis popular; é que etapa demostra o código que acadaches. Le iso primeiro, e despois cambia unha capa por intento para que o seguinte código aínda che diga algo.

Le o código como unha etapa, non como unha lista de fallos

Unha conexión L2TP cruza tres fronteiras nunha orde fixa. IKE negocia asociacións de seguridade sobre UDP 500, a travesía NAT move ese tráfico a UDP 4500, e só entón o túnel L2TP transporta unha sesión PPP que autentica o usuario e asigna un enderezo.

Esa orde é a razón pola que un código de erro cambiante é unha proba útil. Pasar de 789 a 720 significa que IPsec xa negocia e que o fallo se moveu á configuración da ligazón. Pasar de 720 a 691 significa que a ligazón se levantou e que a pasarela rexeitou a identidade. Se aplicas cinco correccións á vez, perdes esa sinal e non podes saber que cambio funcionou.

789: escolle entre a ruta e a política local

O código 789 é un erro de procesamento durante as negociacións de seguridade iniciais. IPsec nunca produciu unha asociación utilizable, así que a conta aínda non se probou. Comeza pola ruta e o segredo compartido, non pola conta.

Confirma que UDP 500 e UDP 4500 chegan ao servidor e que a clave precompartida coincide byte a byte, incluídos maiúsculas e espazos finais. Se o servidor está detrás de NAT, Windows tamén pode necesitar o valor de rexistro documentado. Usa 1 cando o servidor está detrás de NAT e 2 cando o están ambos os extremos, e despois reinicia porque o axente de políticas le o valor ao arrincar:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

A reparación máis pesada do adaptador pertence á outra rama. Quitar o dispositivo Wi-Fi e os miniportos WAN, e despois volver escanear o hardware, xustifícase cando a propia pila IPsec local está danada e outros tipos de VPN fallan do mesmo xeito. É un esforzo desbotado cando só falla un servidor L2TP mentres o resto de rutas de rede funciona.

720: escolle entre este adaptador e o grupo de servidores

O erro 720 informa de que non se puido establecer a conexión co ordenador remoto, e aparece despois de que IPsec teña éxito. O túnel chegou ao punto de levantar unha interface ou obter un enderezo, e despois detívose. Iso convérteo nunha cuestión de adaptador local ou de capacidade do servidor.

Usa o raio de impacto para decidir. Que falle unha máquina Windows apunta a un miniporto WAN defectuoso, un servizo Remote Access detido ou un perfil de conexión corrupto. Que fallen varios clientes ao mesmo tempo apunta ao servidor: un grupo de enderezos esgotado, un servizo RRAS detido ou un grupo que xa non coincide coa subrede do cliente. Corrixe o lado que sinala o patrón antes de cambiar o outro.

Na rama dun só cliente, quita os miniportos WAN unha vez e escanea os cambios de hardware, despois reinicia e volve intentalo. Na rama do servidor, comproba o grupo e o estado do servizo en lugar do cliente, porque reinstalar un adaptador que funciona non pode crear un enderezo que o servidor non ten.

691: escolle entre a credencial e un axudante detido

O código 691 é un rexeitamento de autenticación, e é o código que máis a miúdo se malinterpreta como un contrasinal incorrecto. O túnel está arriba, a pasarela viu unha identidade e rexeitouna. A causa aínda pode estar fóra do campo do contrasinal.

Comproba primeiro o campo de dominio, despois os caracteres exactos do contrasinal. Un contrasinal que conteña un espazo, unha comiña ou un carácter especial da consola pode corromperse antes de chegar ao servidor; en Linux, pppd informa do mesmo rexeitamento que E=691 para un valor sen comiñas ou un dominio ausente. Volve escribir o segredo en lugar de pegalo, e borra calquera credencial gardada que poida conter un valor antigo.

A rama que a xente pasa por alto é un servizo auxiliar detido. Cando un cliente dun provedor depende do seu propio servizo para pasar credenciais á pasarela, un servizo desactivado ou caído produce 691 aínda que o contrasinal sexa correcto. Comproba o estado do servizo do provedor antes de restablecer a conta, sobre todo despois dun reinicio ou unha actualización.

Para separar as ramas, proba o mesmo nome de usuario noutro perfil VPN que funcione ou nunha conta de proba RADIUS. Se iso ten éxito, a credencial é correcta e a ruta do cliente local é sospeitosa. Se falla do mesmo xeito, o problema é a conta ou a política da pasarela.

Cambia unha capa por intento

Traballa de fóra cara a dentro: accesibilidade e travesía NAT, despois a clave precompartida, despois a pila do adaptador local, despois a credencial, despois o grupo de servidores e os servizos. Esa orde segue as etapas que describen os códigos e mantén cada resultado atribuíble a un só cambio.

Leva un rexistro breve do código antes e despois de cada intento, da compilación do cliente e de se se cambiou o servidor ou o cliente. Unha secuencia como 789, despois 720, despois 691 é un mapa de progreso; o mesmo código dúas veces significa que o último cambio non abordou esa etapa. Reinstalar Windows borra este mapa e raramente corrixe un fallo que vive na pasarela.

Cando o código deixe de cambiar, deixa de cambiar cousas. Captura o código actual, o enderezo do servidor, o método de autenticación e a hora do intento, e despois compara ese rexistro cun cliente que funcione. A diferenza entre os dous rexistros adoita ser menor que a lista de correccións que a xente proba por defecto.