Kodovi grešaka VPN-a u Windowsu: koja je faza pala i što logirati

Otvorite dijalog VPN-a u Windowsu nakon neuspjeha i on vam daje broj i rečenicu, pri čemu je rečenica obično manje korisna polovica. Broj pokazuje koja faza veze nije uspjela, a faza određuje koji log, koju postavku i koji tim gledati dalje. Prolazak kroz faze po redu traje oko deset minuta i sprječava poznati slijed ponovne instalacije adaptera, mijenjanja protokola i resetiranja stoga da bi se popravio račun kojemu nikada nije bilo dopušteno da se poveže.

Čitajte broj kao fazu

Izvorna veza prolazi kroz četiri prekretnice. Stiže do poslužitelja i uspostavlja vezu, pregovara sigurnost, autentificira korisnika i primjenjuje adresiranje i usmjeravanje. Neuspjeh na svakoj od njih ostavlja različite dokaze, a kod koji pripada jednoj fazi ne govori ništa korisno o ostalima.

Greška koju treba izbjeći je tretirati kod kao stupanj ozbiljnosti. Neuspjeh veze i neuspjeh autorizacije oba se čitaju kao "nije se moglo povezati" i nemaju ništa drugo zajedničko. Ozbiljnost govori koliko je što hitno; faza govori što otvoriti.

Prva faza: veza i pokušaj povezivanja

829 znači da je osnovna veza prekinuta. Ne kaže je li udaljeni partner prestao odgovarati, je li posredni uređaj ubio sesiju ili je politika na klijentu zatvorila. Kod završetka povezivanja poput 703 još je raniji: pokušaj nikada nije došao do veze, što obično upućuje na profil, stanje usluge ili lokalnu politiku.

Get-VpnConnection -Name 'Corp' | Select-Object Name,ServerAddress,TunnelType,AuthenticationMethod,ConnectionStatus
Test-NetConnection -ComputerName vpn.example.net -Port 443
Get-WinEvent -LogName Application -MaxEvents 200 | Where-Object ProviderName -match 'RasClient' | Select-Object -First 15 TimeCreated,Id,Message

Upit događaja je dio koji ljudi preskaču. Zapis na strani klijenta s vremenskom oznakom i imenom sučelja vrijedi više od dijaloga jer govori je li pokušaj uopće napustio stroj. Nema zapisa i nema odgovora slušatelja znači problem dostupnosti, i nikakvo uređivanje klijenta to ne mijenja.

Ako isti profil radi na drugoj mreži, zaustavite se ovdje. Kod opisuje stanje puta, a ne grešku konfiguracije, i sljedeća korisna usporedba su dva snimka, a ne još jedna ponovna instalacija.

Druga faza: PPP i povezivanje miniporta

720 stoji između veze i korisnika. Tunel se podigao i tada PPP sloj nije mogao pregovarati adresu ili kontrolni protokol, što je često problem povezivanja na klijentu, a ne odbijena vjerodajnica. Ta razlika je cijela vrijednost koda: govori da vjerodajnica nikada nije dosegnuta, pa račun nije osumnjičeni.

Get-NetAdapter -IncludeHidden | Where-Object InterfaceDescription -match 'WAN Miniport' | Select-Object Name,Status,ifIndex
Get-NetAdapterBinding | Where-Object ComponentID -match 'ms_pptp|ms_l2tp|ms_sstp|ms_agile' | Select-Object Name,ComponentID,Enabled

Čitanje tih dvaju izlaza informativnije je od resetiranja bilo čega. Miniport koji postoji ali nije pokrenut, ili povezivanje protokola koje je onemogućio drugi softver, proizvodi točno neuspjeh ove faze. Oba se mogu popraviti bez diranja ostatka stoga. Potpuni reset, nasuprot tome, uklanja adresiranje i stanje filtriranja koji nisu imali veze s kvarom.

Treća faza: identitet i autorizacija

691 znači da su vjerodajnice odbijene. 649 znači da račun nema dopuštenje za povezivanje, a 812 znači da je politika udaljenog pristupa odbila vezu. To su odluke, a ne transportni kvarovi, i klijent ih može samo prijaviti.

Dokazi su na drugoj strani. Pitajte operatera pristupnika za pokušaj u toj vremenskoj oznaci i politiku koja se poklopila; pitajte vlasnika imenika ima li račun dopuštenje za povezivanje i je li u grupi koju politika zahtijeva. Promjena vrste tunela ili ponovna instalacija klijenta ne mogu promijeniti odluku donesenu o identitetu.

Korisna navika u ovoj fazi je upisati točan niz računa u tiket, uključujući svaki prefiks domene. Iznenađujuće mnogo slučajeva 691 su spremljene vjerodajnice za pogrešnu domenu, i to je vidljivo u nizu računa, a ne u postavkama protokola.

Četvrta faza: povezano, i ništa ne radi

Veza se može dovršiti i ostati beskorisna. Drži adresu, klijent prijavljuje uspjeh, a svaki zahtjev aplikacije istekne. Ništa u dijalogu to ne odražava i nema koda za provjeru. U tom trenutku dijalog je završen, a korisni dokazi su negdje drugdje.

Get-NetRoute -DestinationPrefix 10.24.0.0/16 | Select-Object DestinationPrefix,NextHop,InterfaceAlias
Resolve-DnsName files.corp.example.internal
Test-NetConnection -ComputerName 10.24.6.15 -Port 445

Ako ruta nedostaje, poslužitelj ju nije poslao ili ju je klijent ispustio. Ako ruta postoji i ime ne uspijeva, problem je u razrješavanju. Ako oboje radi, a aplikacija i dalje ne uspijeva, prošli ste tunel i ušli u vlastitu konfiguraciju aplikacije.

Držite promjene na jednom sloju po testu. Svaka izmjena prije sljedećeg pokušaja postaje dio konteksta sljedećeg koda, a kod koji opisuje vašu posljednju izmjenu gori je od nikakvog koda.

Jedan pokušaj, jedna promjena, jedan zapis

Koja god faza bila, zapis treba sadržavati kod, poruku, naziv profila, vremensku oznaku i mrežu na kojoj ste bili. Pet polja, a svako od njih već je pred vama u dijalogu ili logu klijenta. Taj skup dovoljno je mali da se zalijepi u tiket i dovoljno konkretan da ga netko drugi reproducira.

Zatim stavite tu vremensku oznaku uz zapis na drugoj strani. Tablica pri vrhu ove stranice kaže koja faza posjeduje svako neslaganje. Bez drugog zapisa kod samo sužava pretragu; s njim je faza odlučena. Usporedba je ono što broj pretvara u dijagnozu, a ne u nagađanje.

Ta navika pokriva gotovo svaki izvorni kvar VPN-a u Windowsu, i nijedna grana ne zahtijeva ponovnu instalaciju bilo čega. Dijalog vam je oduvijek govorio koji imate; posao je u odbijanju da ih sve tretirate kao isti problem.