Kesalahan L2TP/IPsec 789, 720, atau 691: perbaiki tahap yang tepat lebih dulu

Windows 11 melaporkan nomor berbeda untuk setiap tahap L2TP/IPsec, dan nomor itu menandai tahap, bukan menilai kegagalan. 789 gagal sebelum tautan PPP ada, 720 gagal saat tautan sedang dinaikkan, dan 691 gagal setelah tautan naik dan kredensial ditolak. Keputusan yang berguna bukanlah perbaikan mana yang paling populer; melainkan tahap mana yang dibuktikan kode telah Anda capai. Baca itu dulu, lalu ubah satu lapisan per percobaan agar kode berikutnya masih memberi tahu Anda sesuatu.

Baca kode sebagai tahap, bukan sebagai daftar kesalahan

Koneksi L2TP melintasi tiga batas dalam urutan tetap. IKE menegosiasikan asosiasi keamanan melalui UDP 500, traversal NAT memindahkan lalu lintas itu ke UDP 4500, dan baru setelah itu terowongan L2TP membawa sesi PPP yang mengautentikasi pengguna dan menetapkan alamat.

Urutan itulah sebabnya kode kesalahan yang berubah menjadi bukti yang berguna. Berpindah dari 789 ke 720 berarti IPsec sekarang bernegosiasi dan kegagalan telah pindah ke penyiapan tautan. Berpindah dari 720 ke 691 berarti tautan sudah naik dan gateway menolak identitas. Jika Anda menerapkan lima perbaikan sekaligus, Anda kehilangan sinyal itu dan tidak dapat mengetahui perubahan mana yang berhasil.

789: pilih antara jalur dan kebijakan lokal

Kode 789 adalah kesalahan pemrosesan selama negosiasi keamanan awal. IPsec tidak pernah menghasilkan asosiasi yang dapat dipakai, jadi akun belum diuji. Mulailah dari jalur dan kunci bersama, bukan dari akun.

Pastikan UDP 500 dan UDP 4500 mencapai server dan kunci yang dibagikan sebelumnya cocok byte demi byte, termasuk huruf besar-kecil dan spasi di akhir. Jika server berada di belakang NAT, Windows mungkin juga memerlukan nilai registri yang didokumentasikan. Gunakan 1 saat server berada di belakang NAT dan 2 saat kedua ujungnya demikian, lalu mulai ulang karena agen kebijakan membaca nilai saat mulai:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Perbaikan adaptor yang lebih berat termasuk cabang lain. Melepas perangkat Wi-Fi dan miniport WAN lalu memindai ulang perangkat keras dibenarkan ketika tumpukan IPsec lokal itu sendiri rusak dan jenis VPN lain gagal dengan cara yang sama. Itu usaha yang sia-sia ketika hanya satu server L2TP gagal sementara setiap jalur jaringan lain berfungsi.

720: pilih antara adaptor ini dan kumpulan server

Kesalahan 720 melaporkan bahwa koneksi ke komputer jarak jauh tidak dapat dibuat, dan muncul setelah IPsec berhasil. Terowongan mencapai titik menaikkan antarmuka atau memperoleh alamat, lalu berhenti. Itu menjadikannya pertanyaan adaptor lokal atau pertanyaan kapasitas server.

Gunakan radius dampak untuk memutuskan. Satu mesin Windows gagal menunjuk ke miniport WAN yang buruk, layanan Remote Access yang berhenti, atau profil koneksi yang rusak. Beberapa klien gagal pada saat yang sama menunjuk ke server: kumpulan alamat yang habis, layanan RRAS yang berhenti, atau kumpulan yang tidak lagi cocok dengan subnet klien. Perbaiki sisi yang ditunjuk pola sebelum mengubah sisi lain.

Pada cabang satu klien, lepaskan miniport WAN sekali dan pindai perubahan perangkat keras, lalu mulai ulang dan coba lagi. Pada cabang server, periksa kumpulan dan status layanan, bukan klien, karena memasang ulang adaptor yang berfungsi tidak dapat membuat alamat yang tidak dimiliki server.

691: pilih antara kredensial dan pembantu yang berhenti

Kode 691 adalah penolakan autentikasi, dan itu kode yang paling sering salah dibaca sebagai kata sandi yang salah. Terowongan sudah naik, gateway melihat identitas, dan menolak identitas itu. Penyebabnya masih bisa berada di luar kolom kata sandi.

Periksa kolom domain dulu, lalu karakter persis dalam kata sandi. Kata sandi yang berisi spasi, tanda kutip, atau karakter khusus shell dapat rusak sebelum mencapai server; di Linux, pppd melaporkan penolakan yang sama seperti E=691 untuk nilai tanpa tanda kutip atau domain yang hilang. Ketik ulang rahasianya alih-alih menempelkannya, dan hapus kredensial tersimpan yang mungkin menyimpan nilai lama.

Cabang yang orang lewatkan adalah layanan pembantu yang berhenti. Ketika klien vendor bergantung pada layanannya sendiri untuk meneruskan kredensial ke gateway, layanan yang dinonaktifkan atau mogok menghasilkan 691 meskipun kata sandinya benar. Periksa status layanan vendor sebelum mengatur ulang akun, terutama setelah mulai ulang atau pembaruan.

Untuk memisahkan cabang, uji nama pengguna yang sama pada profil VPN lain yang berfungsi atau akun uji RADIUS. Jika itu berhasil, kredensialnya baik dan jalur klien lokal mencurigakan. Jika gagal dengan cara yang sama, masalahnya ada pada akun atau kebijakan gateway.

Ubah satu lapisan per percobaan

Bekerjalah dari luar ke dalam: keterjangkauan dan traversal NAT, lalu kunci yang dibagikan sebelumnya, lalu tumpukan adaptor lokal, lalu kredensial, lalu kumpulan server dan layanan. Urutan itu mengikuti tahap yang dijelaskan kode dan menjaga setiap hasil dapat diatribusikan ke satu perubahan.

Simpan catatan singkat tentang kode sebelum dan sesudah setiap percobaan, versi klien, dan apakah server atau klien diubah. Urutan seperti 789, lalu 720, lalu 691 adalah peta kemajuan; kode yang sama dua kali berarti perubahan terakhir tidak menangani tahap itu. Memasang ulang Windows menghapus peta ini dan jarang memperbaiki kegagalan yang tinggal di gateway.

Ketika kode berhenti berubah, berhentilah mengubah hal-hal. Catat kode saat ini, alamat server, metode autentikasi, dan waktu percobaan, lalu bandingkan catatan itu dengan klien yang berfungsi. Perbedaan antara kedua catatan biasanya lebih kecil daripada daftar perbaikan yang dicoba orang secara bawaan.