Pogreška L2TP/IPsec 789, 720 ili 691: prvo popravite pravi korak

Windows 11 prijavljuje drugi broj za svaku fazu L2TP/IPsec, a taj broj označava fazu umjesto da ocjenjuje kvar. 789 ne uspijeva prije nego što PPP veza postoji, 720 ne uspijeva dok se veza podiže, a 691 ne uspijeva nakon što se veza podigne i vjerodajnice budu odbijene. Korisna odluka nije koja je popravka najpopularnija; nego koja faza dokazuje da ste je dosegnuli. Pročitajte to prvo, zatim mijenjajte jedan sloj po pokušaju kako bi vam sljedeći kod još nešto rekao.

Čitajte kod kao fazu, ne kao popis kvarova

L2TP veza prelazi tri granice u fiksnom redoslijedu. IKE pregovara sigurnosne asocijacije preko UDP 500, NAT prolaz premješta taj promet na UDP 4500, i tek tada L2TP tunel nosi PPP sesiju koja autentificira korisnika i dodjeljuje adresu.

Taj redoslijed je razlog zašto je promjenjivi kod pogreške koristan dokaz. Prelazak s 789 na 720 znači da IPsec sada pregovara i da se kvar premjestio na uspostavu veze. Prelazak s 720 na 691 znači da se veza podigla i da je pristupnik odbio identitet. Ako primijenite pet popravaka odjednom, gubite taj signal i ne možete reći koja je promjena uspjela.

789: odaberite između putanje i lokalnog pravila

Kod 789 je pogreška obrade tijekom početnih sigurnosnih pregovora. IPsec nikada nije stvorio upotrebljivu asocijaciju, pa račun još nije testiran. Počnite s putanjom i zajedničkim ključem, ne s računom.

Potvrdite da UDP 500 i UDP 4500 dosežu poslužitelj i da se unaprijed dijeljeni ključ podudara bajt po bajt, uključujući velika i mala slova te završne razmake. Ako je poslužitelj iza NAT-a, Windows može trebati i dokumentiranu registarsku vrijednost. Koristite 1 kada je poslužitelj iza NAT-a i 2 kada su oba kraja, zatim ponovno pokrenite jer agent pravila čita vrijednost pri pokretanju:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Teži popravak adaptera pripada drugoj grani. Uklanjanje Wi-Fi uređaja i WAN mini-portova pa ponovno skeniranje hardvera opravdano je kada je sam lokalni IPsec sklop oštećen i druge vrste VPN-a ne uspijevaju na isti način. To je uzaludan trud kada ne uspijeva samo jedan L2TP poslužitelj dok sve ostale mrežne putanje rade.

720: odaberite između ovog adaptera i skupa poslužitelja

Pogreška 720 prijavljuje da veza s udaljenim računalom nije mogla biti uspostavljena, a pojavljuje se nakon što IPsec uspije. Tunel je stigao do točke podizanja sučelja ili dobivanja adrese, a zatim se zaustavio. To ga čini pitanjem lokalnog adaptera ili pitanjem kapaciteta poslužitelja.

Upotrijebite radijus utjecaja za odluku. Neuspjeh jednog Windows računala upućuje na neispravan WAN mini-port, zaustavljenu uslugu Remote Access ili oštećeni profil veze. Neuspjeh nekoliko klijenata istodobno upućuje na poslužitelj: iscrpljen skup adresa, zaustavljenu uslugu RRAS ili skup koji više ne odgovara klijentskoj podmreži. Popravite stranu na koju upućuje obrazac prije nego promijenite drugu.

U grani s jednim klijentom uklonite WAN mini-portove jednom i skenirajte promjene hardvera, zatim ponovno pokrenite i pokušajte ponovno. U grani poslužitelja provjerite skup i stanje usluge umjesto klijenta, jer ponovna instalacija ispravnog adaptera ne može stvoriti adresu koju poslužitelj nema.

691: odaberite između vjerodajnice i zaustavljenog pomoćnika

Kod 691 je odbijanje autentifikacije i kod je koji se najčešće pogrešno čita kao pogrešna zaporka. Tunel je podignut, pristupnik je vidio identitet i odbio ga. Uzrok ipak može biti izvan polja zaporke.

Prvo provjerite polje domene, zatim točne znakove u zaporki. Zaporka koja sadrži razmak, navodnik ili poseban znak ljuske može se iskvariti prije nego što stigne do poslužitelja; na Linuxu, pppd prijavljuje isto odbijanje kao E=691 za vrijednost bez navodnika ili nedostajuću domenu. Ponovno upišite tajnu umjesto da je zalijepite i obrišite sve spremljene vjerodajnice koje mogu sadržavati stariju vrijednost.

Grana koju ljudi propuštaju jest zaustavljena pomoćna usluga. Kada klijent dobavljača ovisi o vlastitoj usluzi za prijenos vjerodajnica pristupniku, onemogućena ili srušena usluga proizvodi 691 čak i kada je zaporka ispravna. Provjerite stanje usluge dobavljača prije poništavanja računa, osobito nakon ponovnog pokretanja ili ažuriranja.

Da biste razdvojili grane, testirajte isto korisničko ime na drugom ispravnom VPN profilu ili RADIUS testnom računu. Ako to uspije, vjerodajnica je ispravna i lokalna klijentska putanja je sumnjiva. Ako ne uspije na isti način, problem je račun ili pravilo pristupnika.

Mijenjajte jedan sloj po pokušaju

Radite izvana prema unutra: dostupnost i NAT prolaz, zatim unaprijed dijeljeni ključ, zatim lokalni sklop adaptera, zatim vjerodajnica, zatim skup poslužitelja i usluge. Taj redoslijed slijedi faze koje kodovi opisuju i drži svaki rezultat pripisivim jednoj promjeni.

Vodite kratak dnevnik koda prije i poslije svakog pokušaja, verzije klijenta i toga je li promijenjen poslužitelj ili klijent. Slijed poput 789, zatim 720, zatim 691 karta je napretka; isti kod dvaput znači da zadnja promjena nije obradila tu fazu. Ponovna instalacija Windowsa briše ovu kartu i rijetko ispravlja kvar koji živi na pristupniku.

Kada se kod prestane mijenjati, prestanite mijenjati stvari. Zabilježite trenutni kod, adresu poslužitelja, metodu autentifikacije i vrijeme pokušaja, zatim usporedite taj zapis s klijentom koji radi. Razlika između dvaju zapisa obično je manja od popisa popravaka koje ljudi isprobavaju prema zadanim postavkama.