Windows VPN se ne povezuje? Uskladite kod s dnevnikom događaja

U petak je radilo. U ponedjeljak isti Windows klijent odgovara dijalogom koji kaže da pokušaj povezivanja nije uspio, a rečenica ispod njega je ona koju ste već vidjeli kod dvanaestak nepovezanih problema. Taj dijalog je kraj lanca, a ne njegov početak. Windows skriva fazu u kojoj je pokušaj doista umro, a dva mala dokaza je imenuju: brojčani kod rezultata i jedan RasClient događaj iz te iste minute. Ovo je redoslijed koji koristim — fiksirajte pokušaj, pročitajte kod, izvucite događaj, pa promijenite točno jedan sloj.

Tekst dijaloga je posljednji korak, a ne uzrok

Rečenica koju čitate bira se nakon što se pokušaj već razmotao. "Veza je prekinuta od strane udaljenog računala prije nego što je veza uspostavljena" pojavljuje se kada poslužitelj prekine vezu usred pregovora, kada IPsec ne uspije prije nego što je vaše korisničko ime uopće poslano, i kada politika odbije tunel odmah. Tri različita vlasnika, jedna rečenica. Tretirajte formulaciju kao klasu simptoma i ne dopustite joj da bilo što usmjerava dok se kod s njom ne složi.

Ono što još možete fiksirati je sam pokušaj. Zapišite naziv veze, tip tunela pohranjen u profilu — PPTP, L2TP/IPsec, SSTP ili IKEv2 — vrijeme do sekunde i kod. Ako niste sigurni koji je protokol stvarno radio, otvorite %APPDATA%\Microsoft\Network\Connections\Pbk\rasphone.pbk i pročitajte unos umjesto da vjerujete pamćenju; profil ponovno korišten za novi protokol zadržava svoje staro prikazno ime.

Pročitajte broj prije nego što pročitate riječi

Kodovi padaju u tri faze, i faza je važnija od točne formulacije: razmjena autentifikacije do koje se došlo i koja je odbijena, poslužitelj koji nikada nije odgovorio, ili pregovori koji su se srušili nakon što se veza podigla. 691 je prva vrsta — provjera vjerodajnica je prošla i nije uspjela, bilo zbog loše zaporke, zaključanog ili isteklog računa, ili protokola autentifikacije koji poslužitelj ne prihvaća. 812 je također odbijanje, ali s važećim vjerodajnicama: politika na poslužitelju udaljenog pristupa odlučila je protiv vas. Microsoft održava kanonski popis kodova pogrešaka za dial-up i VPN vezu, i vrijedi pročitati svoj broj tamo prije nego što potražite tekst poruke.

809 je suprotna klasa: ništa se nije vratilo. To je problem puta — TCP 443 filtriran za SSTP, GRE blokiran za PPTP, UDP 500 i 4500 ili ESP odbačen za IPsec prolaz. Nova zaporka to ne može popraviti, a ni svježi certifikat. 720 znači da se veza podigla i da PPP nikada nije završio pregovore, što upućuje na neusklađenost protokola ili poslužitelj koji nije mogao dodijeliti adresu. 789, ili 13801 na IKEv2, identitet je unutar IPsec-a: certifikat čiji se subjekt ne podudara s imenom koje birate, nepouzdan lanac, ili unaprijed dijeljeni ključ koji se razlikuje između dvaju krajeva.

Izvucite RasClient događaj za tu istu minutu

U Pregledniku događaja Windows Logs > Application filtriran po izvoru RasClient prvo je mjesto za pogledati. Microsoftov opis pogreške 720 upućuje na događaj 20227 u tom dnevniku. Isti davatelj emitira druge identifikatore za druge ishode, zato čitajte poruku i ugrađeni kod rezultata umjesto da ID tretirate kao dijagnozu; generički dijalog plus 20227 koji nosi 720 već je mnogo uža priča.

Iz PowerShell-a, bez klikanja kroz GUI:

Get-WinEvent -FilterHashtable @{
  LogName      = 'Application'
  ProviderName = 'RasClient'
  StartTime    = (Get-Date).AddMinutes(-15)
} | Format-List TimeCreated, Id, Message

Prazan rezultat je informativan. Obično znači da biranje nikada nije otišlo dovoljno daleko da bi RAS išta zabilježio, ili da softver koji nije uspio uopće nije izvorni klijent — klijenti trećih strana drže vlastitu dijagnostiku i često ne pišu ništa u Application dnevnik. Provjerite dnevnik dobavljača prije nego zaključite da je evidentiranje događaja pokvareno.

Izgradite jednu vremensku crtu umjesto hrpe događaja

Petlje ponovnih pokušaja stvaraju šum. Pet automatskih ponovnih povezivanja ostavlja grupu događaja, a iskušenje je čitati ih kao jedan niz s jednim uzrokom. To je pet odvojenih pokušaja, i samo su neki od njih stigli do poslužitelja. Uzmite prozor od dvije ili tri minute, jedan naziv veze, i popišite svaki događaj s njegovim vlastitim kodom prije nego bilo što protumačite.

Zatim pitajte gdje se pokušaj zaustavio. Kada gateway ili pozadina za autentifikaciju ne drži nikakav zapis za tu vremensku oznaku, klijent ga nikada nije dosegnuo, i gledate problem dostupnosti. Kada pozadina pokazuje zahtjev i odbijanje, odluka je donesena ondje, i primjenjuje se klasa vjerodajnica ili politike. Usporedite satove prije nego što usporedite vremena: klijenti prijavljuju lokalno vrijeme, mnogi gatewayi bilježe UTC, a pomak će učiniti savršeno koreliran par nepovezanim.

Za ponovljivo snimanje, birajte iz naredbenog retka i pustite ga da ispiše rezultat:

rasdial "Office VPN"
rasdial "Office VPN" /disconnect

Konzola pokazuje broj koji GUI skriva iza prijateljskog teksta, a pokretanje dvaput govori vam je li kod stabilan ili povremen.

Što vam svaka faza govori da promijenite

Imenovanje faze korisno je samo ako skup promjena svodi na jedan sloj:

• 691 — autentifikacija: EAP metoda koju klijent nudi nasuprot onoj koju poslužitelj prihvaća, stanje računa, istek zaporke, dozvola za dial-in.
• 812 — politika poslužitelja: politika udaljenog pristupa ili NPS pravilo koje odgovara ovom korisniku i ovom vremenskom prozoru.
• 809 — dostupnost: firewall pravila na putu, NAT i prolaz protokola, port koji odabrani tip tunela traži.
• 720 — PPP pregovori: neusklađenost protokola autentifikacije, dodjela adrese, PPP postavka na strani poslužitelja.
• 789 / 13801 — IPsec identitet: subjekt certifikata nasuprot imenu koje birate, lanac povjerenja, unaprijed dijeljeni ključ.

Promijenite jedno od toga, ponovno testirajte isti profil i zapišite novi kod. Drugačiji kod nakon promjene napredak je, a ne proturječnost: premjestili ste kvar na kasniju fazu, i tako izgleda popravljanje višefaznog rukovanja. Ono što ne biste trebali raditi je promijeniti firewall, certifikat i zaporku u jednom sjedenju i zatim pripisati zaslugu onome što je došlo posljednje.

Dijelite dokaze, ne okruženje

Poruke događaja bogatije su nego što izgledaju. Nose naziv veze, račun, često interno ime ili adresu gatewaya, a ponekad i otisak certifikata. Držite original ondje gdje mu je mjesto i napravite zasebnu redigiranu kopiju za bilo koga drugog; ponovno tipkanje vremenske crte po pamćenju gubi upravo detalje koji je čine korisnom.

Primopredaja koja će biti obrađena treba pet polja: kod, fazu kojoj pripada, klijent i tip tunela, vremensku oznaku s njezinom vremenskom zonom, i je li gateway uopće vidio zahtjev. Sve ostalo je neobavezno. S tih pet sljedeća osoba može razlikovati raspravu o vjerodajnicama od rasprave o usmjeravanju bez ponavljanja istrage.

Prije nego bilo što zatvorite, ponovite pokušaj na istom profilu i potvrdite gdje kod sada pada. Uspjeh to završava; drugačiji kvar znači da je izvorna faza popravljena i sljedeća je u vašim rukama.