Errore L2TP/IPsec 789, 720 o 691: correggi prima la fase giusta

Windows 11 segnala un numero diverso per ogni fase di L2TP/IPsec, e quel numero indica una fase invece di valutare il guasto. 789 fallisce prima che esista il collegamento PPP, 720 fallisce mentre il collegamento viene alzato, e 691 fallisce dopo che il collegamento è attivo e le credenziali vengono rifiutate. La decisione utile non è quale correzione sia più popolare; è quale fase il codice dimostri che hai raggiunto. Leggilo prima, poi cambia uno strato per tentativo così che il codice successivo ti dica ancora qualcosa.

Leggi il codice come una fase, non come un elenco di guasti

Una connessione L2TP attraversa tre confini in un ordine fisso. IKE negozia le associazioni di sicurezza su UDP 500, la traversata NAT sposta quel traffico su UDP 4500, e solo allora il tunnel L2TP trasporta una sessione PPP che autentica l'utente e assegna un indirizzo.

Quest'ordine è il motivo per cui un codice di errore che cambia è una prova utile. Passare da 789 a 720 significa che IPsec ora negozia e che il guasto si è spostato alla configurazione del collegamento. Passare da 720 a 691 significa che il collegamento è attivo e che il gateway ha rifiutato l'identità. Se applichi cinque correzioni insieme, perdi quel segnale e non puoi sapere quale modifica abbia funzionato.

789: scegli tra il percorso e i criteri locali

Il codice 789 è un errore di elaborazione durante le negoziazioni di sicurezza iniziali. IPsec non ha mai prodotto un'associazione utilizzabile, quindi l'account non è ancora stato testato. Inizia dal percorso e dalla chiave condivisa, non dall'account.

Verifica che UDP 500 e UDP 4500 raggiungano il server e che la chiave precondivisa corrisponda byte per byte, inclusi maiuscole e spazi finali. Se il server si trova dietro NAT, Windows potrebbe aver bisogno anche del valore di registro documentato. Usa 1 quando il server è dietro NAT e 2 quando lo sono entrambe le estremità, poi riavvia perché l'agente dei criteri legge il valore all'avvio:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

La riparazione più pesante dell'adattatore appartiene all'altro ramo. Rimuovere il dispositivo Wi-Fi e le miniporte WAN e poi riscansionare l'hardware è giustificato quando lo stack IPsec locale è danneggiato e altri tipi di VPN falliscono allo stesso modo. È uno sforzo sprecato quando fallisce un solo server L2TP mentre ogni altro percorso di rete funziona.

720: scegli tra questo adattatore e il pool di server

L'errore 720 segnala che la connessione al computer remoto non è stata stabilita, e appare dopo che IPsec è riuscito. Il tunnel ha raggiunto il punto di alzare un'interfaccia o ottenere un indirizzo, poi si è fermato. Questo lo rende una questione di adattatore locale o di capacità del server.

Usa il raggio d'impatto per decidere. Il guasto di una singola macchina Windows punta a una miniporta WAN difettosa, a un servizio Remote Access arrestato o a un profilo di connessione corrotto. Il guasto di più client contemporaneamente punta al server: un pool di indirizzi esaurito, un servizio RRAS arrestato o un pool che non corrisponde più alla sottorete del client. Correggi il lato che lo schema indica prima di cambiare l'altro.

Nel ramo a singolo client, rimuovi le miniporte WAN una volta e scansiona le modifiche hardware, poi riavvia e riprova. Nel ramo server, controlla il pool e lo stato del servizio invece del client, perché reinstallare un adattatore funzionante non può creare un indirizzo che il server non ha.

691: scegli tra la credenziale e un assistente arrestato

Il codice 691 è un rifiuto di autenticazione, ed è il codice che più spesso viene letto male come password errata. Il tunnel è attivo, il gateway ha visto un'identità e l'ha rifiutata. La causa può ancora trovarsi fuori dal campo della password.

Controlla prima il campo del dominio, poi i caratteri esatti della password. Una password che contiene uno spazio, una virgoletta o un carattere speciale della shell può essere alterata prima di raggiungere il server; su Linux, pppd segnala lo stesso rifiuto di E=691 per un valore senza virgolette o un dominio mancante. Riscrivi il segreto invece di incollarlo, e cancella eventuali credenziali salvate che potrebbero contenere un valore precedente.

Il ramo che le persone trascurano è un servizio ausiliario arrestato. Quando un client di un fornitore dipende dal proprio servizio per passare le credenziali al gateway, un servizio disabilitato o bloccato produce 691 anche se la password è corretta. Controlla lo stato del servizio del fornitore prima di reimpostare l'account, soprattutto dopo un riavvio o un aggiornamento.

Per separare i rami, prova lo stesso nome utente su un altro profilo VPN funzionante o un account di test RADIUS. Se riesce, la credenziale è a posto e il percorso client locale è sospetto. Se fallisce allo stesso modo, il problema è l'account o i criteri del gateway.

Cambia uno strato per tentativo

Lavora dall'esterno verso l'interno: raggiungibilità e traversata NAT, poi la chiave precondivisa, poi lo stack dell'adattatore locale, poi la credenziale, poi il pool di server e i servizi. Quest'ordine segue le fasi descritte dai codici e mantiene ogni risultato attribuibile a una sola modifica.

Tieni un breve registro del codice prima e dopo ogni tentativo, della build del client e di ciò che è stato cambiato, server o client. Una sequenza come 789, poi 720, poi 691 è una mappa dei progressi; lo stesso codice due volte significa che l'ultima modifica non ha affrontato quella fase. Reinstallare Windows cancella questa mappa e raramente corregge un guasto che vive sul gateway.

Quando il codice smette di cambiare, smetti di cambiare le cose. Registra il codice attuale, l'indirizzo del server, il metodo di autenticazione e l'ora del tentativo, poi confronta quel record con un client che funziona. La differenza tra i due record è di solito inferiore all'elenco di correzioni che le persone provano per impostazione predefinita.