Windows-VPN-Feelkoder: wéi eng Etapp gescheitert ass a wat ze loggen

Maacht den Windows-VPN-Dialog no engem Feeler op, an hie gëtt Iech eng Nummer an ee Saz, woubäi de Saz meeschtens déi manner nëtzlech Halschent ass. D'Nummer seet, wéi eng Etapp vun der Verbindung gescheitert ass, an d'Etapp bestëmmt, wéi ee Log, wat fir eng Astellung a wéi en Team Dir als nächst kuckt. D'Etappen an der Rei duerchzegoen dauert ongeféier zéng Minutten a verhënnert déi bekannte Sequenz: Adapter nei installéieren, Protokoller wiesselen an de Stack zrécksetzen, fir e Kont ze flécken, deem ni erlaabt gouf anzewielen.

Liest d'Nummer als Etapp

Eng natives Verbindung geet duerch véier Etappen. Si erreecht de Server a baut eng Verbindung op, si verhandelt Sécherheet, si authentifizéiert de Benotzer, a si applizéiert Adresséierung a Routing. E Feeler an all där hannerléisst aner Beweiser, an e Code, deen zu enger Etapp gehéiert, seet näischt Nëtzleches iwwer déi aner.

De Feeler, deen ze vermeiden ass, ass de Code als Schwéiergrad ze behandelen. E Verbindungsfeeler an en Autorisatiounsfeeler liesen sech allebéid als "konnt net verbannen", an si hu bis dohi näischt gemeinsam. De Schwéiergrad seet, wéi urgent eppes ass; d'Etapp seet, wat opzemaachen.

Etapp een: d'Verbindung an den Awielversuch

829 heescht, datt déi ënnescht Verbindung ofgebrach ass. Et seet net, ob de Géigeniwwer opgehalen huet ze äntweren, ob en Zwëschenapparat d'Sessioun ëmbruecht huet oder ob eng Politik um Client se zougemaach huet. En Awielofschloss-Code wéi 703 ass nach méi fréi: den Versuch koum ni sou wäit, datt en eng Verbindung hätt, wat meeschtens op de Profil, de Servicestatus oder eng lokal Politik hindeit.

Get-VpnConnection -Name 'Corp' | Select-Object Name,ServerAddress,TunnelType,AuthenticationMethod,ConnectionStatus
Test-NetConnection -ComputerName vpn.example.net -Port 443
Get-WinEvent -LogName Application -MaxEvents 200 | Where-Object ProviderName -match 'RasClient' | Select-Object -First 15 TimeCreated,Id,Message

D'Evenementsabfro ass deen Deel, deen d'Leit iwwersprangen. En Opzeechnung op der Clientsäit mat engem Zäitstempel an engem Interface-Numm ass méi wäert wéi den Dialog, well se seet, ob den Versuch d'Maschinn iwwerhaapt verlooss huet. Keng Opzeechnung a keng Äntwert vum Lauschterer bedeit en Erreechbarkeetsproblem, a keng Ännerung um Client ännert dat.

Wann dee selwechte Profil op engem aneren Netzwierk funktionéiert, stitt hei op. De Code beschreift eng Konditioun vum Wee an net e Konfiguratiounsfeeler, an den nächsten nëtzleche Verglach sinn déi zwee Opnamen an net nach eng Neiinstallatioun.

Etapp zwee: PPP an d'Miniport-Bindung

720 läit tëscht der Verbindung an dem Benotzer. Den Tunnel ass eropkomm, an duerno konnt d'PPP-Schicht keng Adress oder kee Kontrollprotokoll verhandelen, wat dacks e Bindungsproblem um Client ass an net e verworfene Login. Dee Ënnerscheed ass de ganzen Wäert vum Code: hie seet, datt d'Login ni erreecht gouf, also ass de Kont net verdächteg.

Get-NetAdapter -IncludeHidden | Where-Object InterfaceDescription -match 'WAN Miniport' | Select-Object Name,Status,ifIndex
Get-NetAdapterBinding | Where-Object ComponentID -match 'ms_pptp|ms_l2tp|ms_sstp|ms_agile' | Select-Object Name,ComponentID,Enabled

Déi zwou Ausgaben ze liesen ass méi informativ wéi eppes zréckzesetzen. En Miniport, deen do ass awer net gestart, oder eng Protokollbindung, déi vun anerer Software deaktivéiert gouf, produzéiere genee de Feeler vun dëser Etapp. Béides léisst sech flécken ouni de Rescht vum Stack unzepaken. Eng komplett Zrécksetzung dogéint hëlt Adresséierung a Filterstatus ewech, déi näischt mam Feeler ze dinn haten.

Etapp dräi: Identitéit an Autorisatioun

691 heescht, datt d'Login verworf gouf. 649 heescht, datt de Kont net dierf awielen, an 812 heescht, datt eng Fernzougriffs-Politik d'Verbindung ofgelehnt huet. Dat sinn Entscheedungen, net Transportfeeler, an de Client kann se just mellen.

D'Beweiser sinn op der anerer Säit. Frot den Gateway-Operateur no dem Versuch op deem Zäitstempel an no der Politik, déi gepasst huet; frot den Directory-Besëtzer, ob de Kont Awielberechtegung huet an ob en an der Grupp ass, déi d'Politik verlaangt. Den Tunneltyp ze wiesselen oder de Client nei z'installéieren kann eng Entscheedung iwwer eng Identitéit net änneren.

Eng nëtzlech Gewunnecht an dëser Etapp ass, déi genee Kontzeechen an den Ticket ze schreiwen, inklusiv all Domänprefix. Eng iwwerraschend Zuel vu 691-Fäll sinn ofgespaarte Login fir déi falsch Domän, an dat gesäit een an der Kontzeechen an net an den Astellunge vum Protokoll.

Etapp véier: verbonnen, an näischt funktionéiert

Eng Verbindung kann ofgeschloss ginn an nach ëmmer nëtzlos sinn. Si huet eng Adress, de Client mellt Erfolleg, an all Ufro vun der Applikatioun leeft an en Timeout. Näischt am Dialog spigelt dat, an et gëtt kee Code fir nozekucken. Zu deem Zäitpunkt ass den Dialog fäerdeg an d'nëtzlech Beweiser sinn anerwäerts.

Get-NetRoute -DestinationPrefix 10.24.0.0/16 | Select-Object DestinationPrefix,NextHop,InterfaceAlias
Resolve-DnsName files.corp.example.internal
Test-NetConnection -ComputerName 10.24.6.15 -Port 445

Wann d'Route feelt, huet de Server se net gedréckt oder de Client huet se fale gelooss. Wann d'Route do ass an den Numm feelt, ass d'Resolutioun de Problem. Wann béides funktionéiert an d'Applikatioun nach ëmmer feelt, sidd Dir iwwer den Tunnel eraus an an der Konfiguratioun vun der Applikatioun selwer.

Halt d'Ännerungen op enger Schicht pro Test. All Ännerung virum nächsten Versuch gëtt en Deel vum Kontext vum nächsten Code, an e Code, deen Är lescht Ännerung beschreift, ass schlëmmer wéi guer kee Code.

Een Versuch, eng Ännerung, eng Opzeechnung

Wéi eng Etapp och ëmmer, d'Opzeechnung soll de Code, d'Noriicht, den Numm vum Profil, den Zäitstempel an d'Netzwierk enthalen, op deem Dir waart. Fënnef Felder, an all eenzel dovu läit schonn an Iech am Dialog oder am Client-Log. Dee Set ass kleng genuch fir en an en Ticket ze pasteieren a spezifesch genuch fir datt en aneren en nobaut.

Dann setzt deen Zäitstempel nieft d'Opzeechnung op der anerer Säit. D'Tabell uewen op dëser Säit seet, wéi eng Etapp all Onstëmmegkeet huet. Ouni déi zweet Opzeechnung enkert de Code just d'Sich; domat ass d'Etapp decidéiert. De Verglach ass dat, wat eng Nummer an eng Diagnos ëmwandelt an net an eng Vermutung.

Déi Gewunnecht deckt bal all nativen Windows-VPN-Feeler of, an keen vun de Branchen verlaangt, datt eppes nei installéiert gëtt. Den Dialog huet Iech ëmmer gesot, wéi eneen Dir hutt; d'Aarbecht ass, sech ze wäigeren, se all als dee selwechte Problem ze behandelen.