L2TP/IPsec-hiba 789, 720 vagy 691: először a megfelelő szakaszt javítsa

A Windows 11 minden L2TP/IPsec-szakaszhoz más számot jelent, és ez a szám szakaszt jelöl, nem a hibát pontozza. A 789 a PPP-kapcsolat létrejötte előtt hiúsul meg, a 720 a kapcsolat felépítése közben, a 691 pedig azután, hogy a kapcsolat felállt és a hitelesítő adatokat elutasították. A hasznos döntés nem az, hogy melyik javítás a legnépszerűbb; hanem az, hogy melyik szakaszt bizonyítja a kód, amelyet elért. Ezt olvassa el először, majd próbálkozásonként egy réteget változtasson, hogy a következő kód még mondjon valamit.

A kódot szakaszként olvassa, ne hibalistaként

A L2TP-kapcsolat három határt szel át rögzített sorrendben. Az IKE az UDP 500 felett tárgyal biztonsági társításokat, a NAT-átjárás átviszi ezt a forgalmat az UDP 4500-ra, és csak ezután visz a L2TP-alagút olyan PPP-munkamenetet, amely hitelesíti a felhasználót és címet oszt ki.

Ez a sorrend az oka annak, hogy a változó hibakód hasznos bizonyíték. A 789-ről 720-ra lépés azt jelenti, hogy az IPsec már tárgyal, és a hiba a kapcsolat felépítésére került át. A 720-ról 691-re lépés azt jelenti, hogy a kapcsolat felállt, és az átjáró elutasította az identitást. Ha egyszerre öt javítást alkalmaz, elveszíti ezt a jelet, és nem tudja megmondani, melyik változtatás működött.

789: válasszon az útvonal és a helyi szabály között

A 789-es kód feldolgozási hiba a kezdeti biztonsági tárgyalások során. Az IPsec soha nem hozott létre használható társítást, ezért a fiókot még nem tesztelték. Kezdje az útvonallal és a megosztott kulccsal, ne a fiókkal.

Erősítse meg, hogy az UDP 500 és az UDP 4500 eléri a kiszolgálót, és hogy az előre megosztott kulcs bájtról bájtra egyezik, beleértve a kis- és nagybetűket és a záró szóközöket. Ha a kiszolgáló NAT mögött van, a Windowsnak szüksége lehet a dokumentált beállításjegyzék-értékre is. Használjon 1-et, ha a kiszolgáló NAT mögött van, és 2-t, ha mindkét vég az, majd indítsa újra, mivel a házirend-ügynök indításkor olvassa az értéket:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

A nehezebb adapterjavítás a másik ághoz tartozik. A Wi-Fi-eszköz és a WAN-miniportok eltávolítása, majd a hardver újraszkennelése akkor indokolt, ha maga a helyi IPsec-verem sérült, és más VPN-típusok ugyanígy meghiúsulnak. Ez elpazarolt erőfeszítés, ha csak egy L2TP-kiszolgáló hiúsul meg, miközben minden más hálózati útvonal működik.

720: válasszon ezen adapter és a kiszolgálókészlet között

A 720-as hiba azt jelenti, hogy a távoli számítógéppel nem sikerült létrehozni a kapcsolatot, és az IPsec sikeressége után jelenik meg. Az alagút eljutott az illesztő felemelésének vagy a cím megszerzésének pontjáig, majd megállt. Ez helyi adapterkérdéssé vagy kiszolgálókapacitás-kérdéssé teszi.

A döntéshez használja a hatássugarat. Egy Windows-gép meghibásodása hibás WAN-miniportra, leállt Remote Access szolgáltatásra vagy sérült kapcsolati profilra utal. Több kliens egyidejű meghibásodása a kiszolgálóra utal: kimerült címkészlet, leállt RRAS szolgáltatás vagy olyan készlet, amely már nem illik a kliens alhálózatához. A minta által jelzett oldalt javítsa, mielőtt a másikat megváltoztatja.

Az egyklienses ágon egyszer távolítsa el a WAN-miniportokat, és szkenneljen hardverváltozások után, majd indítsa újra, és próbálja újra. A kiszolgáló ágán a készletet és a szolgáltatás állapotát ellenőrizze a kliens helyett, mert egy működő adapter újratelepítése nem hozhat létre olyan címet, amellyel a kiszolgáló nem rendelkezik.

691: válasszon a hitelesítő adat és egy leállt segítő között

A 691-es kód hitelesítési elutasítás, és ezt a kódot olvassák leggyakrabban tévesen rossz jelszóként. Az alagút áll, az átjáró látott egy identitást, és elutasította. Az ok továbbra is lehet a jelszómezőn kívül.

Először a tartomány mezőt ellenőrizze, majd a jelszó pontos karaktereit. A szóközt, idézőjelet vagy shell-specifikus karaktert tartalmazó jelszó megsérülhet, mielőtt eléri a kiszolgálót; Linuxon pppd ugyanazt az elutasítást jelenti, mint E=691 az idézőjel nélküli érték vagy a hiányzó tartomány esetén. Írja be újra a titkot a beillesztés helyett, és törölje a mentett hitelesítő adatokat, amelyek régebbi értéket tartalmazhatnak.

Az ág, amelyet az emberek kihagynak, egy leállt segítőszolgáltatás. Ha egy szállító kliense a saját szolgáltatásától függ, hogy átadja a hitelesítő adatokat az átjárónak, a letiltott vagy összeomlott szolgáltatás 691-et eredményez akkor is, ha a jelszó helyes. Ellenőrizze a szállító szolgáltatásának állapotát a fiók visszaállítása előtt, különösen újraindítás vagy frissítés után.

Az ágak szétválasztásához tesztelje ugyanazt a felhasználónevet egy másik működő VPN-profillal vagy RADIUS-tesztfiókkal. Ha ez sikerül, a hitelesítő adat rendben van, és a helyi kliensútvonal gyanús. Ha ugyanúgy meghiúsul, a fiók vagy az átjáróházirend a probléma.

Próbálkozásonként egy réteget változtasson

Kívülről befelé haladjon: elérhetőség és NAT-átjárás, majd az előre megosztott kulcs, majd a helyi adapterverem, majd a hitelesítő adat, majd a kiszolgálókészlet és a szolgáltatások. Ez a sorrend követi a kódok által leírt szakaszokat, és minden eredményt egyetlen változtatáshoz rendelhetően tart.

Vezessen rövid naplót a kódról minden próbálkozás előtt és után, a kliens buildjéről, és arról, hogy a kiszolgáló vagy a kliens változott-e. A 789, majd 720, majd 691 sorozat a haladás térképe; ugyanaz a kód kétszer azt jelenti, hogy az utolsó változtatás nem kezelte azt a szakaszt. A Windows újratelepítése törli ezt a térképet, és ritkán javítja a hibát, amely az átjárón él.

Amikor a kód abbahagyja a változást, hagyja abba a dolgok változtatását. Rögzítse az aktuális kódot, a kiszolgáló címét, a hitelesítési módszert és a próbálkozás idejét, majd hasonlítsa össze ezt a feljegyzést egy működő klienssel. A két feljegyzés közötti különbség általában kisebb, mint az emberek által alapértelmezésben kipróbált javítások listája.