L2TP/IPsec klaida 789, 720 arba 691: pirmiausia pataisykite tinkamą etapą

Windows 11 praneša skirtingą numerį kiekvienam L2TP/IPsec etapui, ir šis numeris žymi etapą, o ne vertina gedimą. 789 nepavyksta dar neegzistuojant PPP ryšiui, 720 nepavyksta keliant ryšį, o 691 nepavyksta po to, kai ryšys pakyla ir prisijungimo duomenys atmetami. Naudingas sprendimas yra ne tai, kuri pataisa populiariausia, o tai, kurį etapą kodas įrodo, kad pasiekėte. Pirmiausia tai perskaitykite, tada kiekvieno bandymo metu keiskite vieną sluoksnį, kad kitas kodas vis dar ką nors pasakytų.

Skaitykite kodą kaip etapą, o ne kaip gedimų sąrašą

L2TP ryšys kerta tris ribas fiksuota tvarka. IKE derasi dėl saugos asociacijų per UDP 500, NAT perėjimas perkelia tą srautą į UDP 4500, ir tik tada L2TP tunelis perduoda PPP sesiją, kuri autentifikuoja vartotoją ir priskiria adresą.

Būtent ši tvarka daro kintantį klaidos kodą naudingu įrodymu. Perėjimas nuo 789 prie 720 reiškia, kad IPsec dabar derasi, o gedimas persikėlė į ryšio nustatymą. Perėjimas nuo 720 prie 691 reiškia, kad ryšys pakilo ir šliuzas atmetė tapatybę. Jei taikysite penkias pataisas vienu metu, prarasite šį signalą ir negalėsite pasakyti, kuris pakeitimas suveikė.

789: rinkitės tarp kelio ir vietinės taisyklės

Kodas 789 yra apdorojimo klaida pradinėse saugos derybose. IPsec niekada nesukūrė tinkamos asociacijos, todėl paskyra dar nebuvo išbandyta. Pradėkite nuo kelio ir bendrojo rakto, o ne nuo paskyros.

Patvirtinkite, kad UDP 500 ir UDP 4500 pasiekia serverį ir kad iš anksto bendrinamas raktas sutampa baitas po baito, įskaitant didžiųjų ir mažųjų raidžių skirtumą bei galines erdves. Jei serveris yra už NAT, Windows taip pat gali prireikti dokumentuotos registro reikšmės. Naudokite 1, kai serveris yra už NAT, ir 2, kai abu galai, tada paleiskite iš naujo, nes strategijos agentas reikšmę nuskaito paleidimo metu:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Sunkesnis adapterio taisymas priklauso kitai šakai. Wi-Fi įrenginio ir WAN mini prievadų pašalinimas, o paskui techninės įrangos peržiūra, pateisinamas, kai pats vietinis IPsec stekas pažeistas ir kitų tipų VPN nepavyksta taip pat. Tai bergždžios pastangos, kai nepavyksta tik vienas L2TP serveris, o visi kiti tinklo keliai veikia.

720: rinkitės tarp šio adapterio ir serverių telkinio

Klaida 720 praneša, kad ryšio su nuotoliniu kompiuteriu nepavyko užmegzti, ir ji pasirodo po to, kai IPsec pavyksta. Tunelis pasiekė sąsajos kėlimo ar adreso gavimo tašką ir tada sustojo. Tai daro jį vietinio adapterio klausimu arba serverio talpos klausimu.

Sprendimui naudokite poveikio spindulį. Vieno Windows kompiuterio gedimas rodo į sugedusį WAN mini prievadą, sustabdytą Remote Access paslaugą ar sugadintą ryšio profilį. Kelių klientų gedimas vienu metu rodo į serverį: išnaudotą adresų telkinį, sustabdytą RRAS paslaugą ar telkinį, kuris nebeatitinka kliento potinklio. Pirmiau pataisykite tą pusę, į kurią rodo modelis, nei keiskite kitą.

Vieno kliento šakoje vieną kartą pašalinkite WAN mini prievadus ir nuskaitykite techninės įrangos pakeitimus, tada paleiskite iš naujo ir bandykite dar kartą. Serverio šakoje tikrinkite telkinį ir paslaugos būseną, o ne klientą, nes veikiančio adapterio perinstaliavimas negali sukurti adreso, kurio serveris neturi.

691: rinkitės tarp prisijungimo duomenų ir sustabdytos pagalbinės paslaugos

Kodas 691 yra autentifikavimo atmetimas, ir tai kodas, kuris dažniausiai neteisingai perskaitomas kaip neteisingas slaptažodis. Tunelis pakilęs, šliuzas pamatė tapatybę ir ją atmetė. Priežastis vis dar gali būti už slaptažodžio lauko ribų.

Pirmiausia patikrinkite domeno lauką, tada tikslius slaptažodžio simbolius. Slaptažodis su tarpu, kabute ar apvalkalo specialiuoju simboliu gali būti sugadintas prieš pasiekiant serverį; Linux sistemoje pppd praneša tą patį atmetimą kaip E=691 reikšmei be kabučių ar trūkstamam domenui. Įveskite slaptą žodį iš naujo, o ne įklijuokite, ir išvalykite visus išsaugotus prisijungimo duomenis, kuriuose gali būti senesnė reikšmė.

Šaka, kurią žmonės praleidžia, yra sustabdyta pagalbinė paslauga. Kai tiekėjo klientas priklauso nuo savo paslaugos, kad perduotų prisijungimo duomenis šliuzui, išjungta ar sudužusi paslauga sukuria 691, net jei slaptažodis teisingas. Patikrinkite tiekėjo paslaugos būseną prieš iš naujo nustatydami paskyrą, ypač po paleidimo iš naujo ar atnaujinimo.

Norėdami atskirti šakas, išbandykite tą patį vartotojo vardą kitame veikiančiame VPN profilyje arba RADIUS bandymo paskyroje. Jei tai pavyksta, prisijungimo duomenys geri, o vietinis kliento kelias įtartinas. Jei nepavyksta taip pat, problema yra paskyra arba šliuzo taisyklė.

Keiskite vieną sluoksnį kiekvieno bandymo metu

Dirbkite iš išorės į vidų: pasiekiamumas ir NAT perėjimas, tada iš anksto bendrinamas raktas, tada vietinis adapterio stekas, tada prisijungimo duomenys, tada serverių telkinys ir paslaugos. Ši tvarka atitinka etapus, kuriuos aprašo kodai, ir leidžia kiekvieną rezultatą priskirti vienam pakeitimui.

Veskite trumpą žurnalą apie kodą prieš ir po kiekvieno bandymo, kliento versiją ir tai, ar buvo pakeistas serveris, ar klientas. Seka, pavyzdžiui, 789, tada 720, tada 691, yra pažangos žemėlapis; tas pats kodas du kartus reiškia, kad paskutinis pakeitimas nepalietė to etapo. Windows perinstaliavimas ištrina šį žemėlapį ir retai pataiso gedimą, kuris gyvena šliuze.

Kai kodas nustoja keistis, nustokite keisti dalykus. Užfiksuokite dabartinį kodą, serverio adresą, autentifikavimo metodą ir bandymo laiką, tada palyginkite šį įrašą su veikiančiu klientu. Skirtumas tarp dviejų įrašų paprastai yra mažesnis nei sąrašas pataisų, kurias žmonės bando pagal numatytuosius nustatymus.