L2TP/IPsec kļūda 789, 720 vai 691: vispirms salabojiet pareizo posmu

Windows 11 ziņo atšķirīgu numuru katram L2TP/IPsec posmam, un šis numurs apzīmē posmu, nevis novērtē kļūmi. 789 neizdodas pirms PPP savienojuma pastāvēšanas, 720 neizdodas, kamēr savienojums tiek pacelts, un 691 neizdodas pēc tam, kad savienojums ir pacelts un akreditācijas dati tiek noraidīti. Noderīgais lēmums nav tas, kura labošana ir populārākā, bet gan tas, kuru posmu kods pierāda, ka esat sasniedzis. Vispirms izlasiet to, pēc tam katrā mēģinājumā mainiet vienu slāni, lai nākamais kods jums vēl kaut ko pastāsta.

Lasiet kodu kā posmu, nevis kā kļūdu sarakstu

L2TP savienojums šķērso trīs robežas noteiktā secībā. IKE pārrunā drošības asociācijas UDP 500, NAT caureja pārvieto šo datplūsmu uz UDP 4500, un tikai tad L2TP tunelis pārvadā PPP sesiju, kas autentificē lietotāju un piešķir adresi.

Šī secība ir iemesls, kāpēc mainīgs kļūdas kods ir noderīgs pierādījums. Pāreja no 789 uz 720 nozīmē, ka IPsec tagad pārrunā un kļūme ir pārvietojusies uz savienojuma izveidi. Pāreja no 720 uz 691 nozīmē, ka savienojums ir pacelts un vārteja ir noraidījusi identitāti. Ja piemērosiet piecas labošanas vienlaikus, jūs zaudēsiet šo signālu un nevarēsiet pateikt, kura izmaiņa darbojās.

789: izvēlieties starp ceļu un vietējo politiku

Kods 789 ir apstrādes kļūda sākotnējās drošības pārrunās. IPsec nekad nav izveidojis lietojamu asociāciju, tāpēc konts vēl nav pārbaudīts. Sāciet ar ceļu un koplietoto atslēgu, nevis ar kontu.

Pārliecinieties, ka UDP 500 un UDP 4500 sasniedz serveri un ka iepriekš koplietotā atslēga sakrīt baitu pa baitam, tostarp lielo un mazo burtu atšķirība un beigu atstarpes. Ja serveris atrodas aiz NAT, Windows var būt nepieciešama arī dokumentētā reģistra vērtība. Izmantojiet 1, ja serveris ir aiz NAT, un 2, ja abi gali, pēc tam restartējiet, jo politikas aģents vērtību nolasa palaišanas laikā:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Smagākais adaptera remonts pieder otrai atzarei. Wi-Fi ierīces un WAN mini portu noņemšana un pēc tam aparatūras atkārtota skenēšana ir pamatota, ja pats vietējais IPsec steks ir bojāts un cita veida VPN neizdodas tāpat. Tas ir veltīgs darbs, ja neizdodas tikai viens L2TP serveris, bet visi citi tīkla ceļi darbojas.

720: izvēlieties starp šo adapteri un serveru kopu

Kļūda 720 ziņo, ka savienojumu ar attālo datoru nevarēja izveidot, un tā parādās pēc tam, kad IPsec ir izdevies. Tunelis sasniedza saskarnes pacelšanas vai adreses iegūšanas punktu un pēc tam apstājās. Tas padara to par vietējā adaptera jautājumu vai servera jaudas jautājumu.

Lēmuma pieņemšanai izmantojiet ietekmes rādiusu. Viena Windows datora kļūme norāda uz bojātu WAN mini portu, apturētu Remote Access pakalpojumu vai bojātu savienojuma profilu. Vairāku klientu kļūme vienlaikus norāda uz serveri: izsmelta adrešu kopa, apturēts RRAS pakalpojums vai kopa, kas vairs neatbilst klienta apakštīklam. Vispirms salabojiet to pusi, uz kuru norāda modelis, pirms mainīt otru.

Viena klienta atzarē vienreiz noņemiet WAN mini portus un skenējiet aparatūras izmaiņas, pēc tam restartējiet un mēģiniet vēlreiz. Servera atzarē pārbaudiet kopu un pakalpojuma stāvokli, nevis klientu, jo strādājoša adaptera pārinstalēšana nevar izveidot adresi, kuras serverim nav.

691: izvēlieties starp akreditācijas datiem un apturētu palīgu

Kods 691 ir autentifikācijas noraidījums, un tas ir kods, ko visbiežāk nepareizi nolasa kā nepareizu paroli. Tunelis ir pacelts, vārteja ieraudzīja identitāti un to noraidīja. Iemesls joprojām var būt ārpus paroles lauka.

Vispirms pārbaudiet domēna lauku, pēc tam precīzās paroles rakstzīmes. Parole ar atstarpi, pēdiņu vai čaulas speciālo rakstzīmi var tikt bojāta pirms nonākšanas serverī; Linux sistēmā pppd ziņo to pašu noraidījumu kā E=691 vērtībai bez pēdiņām vai trūkstošam domēnam. Ievadiet noslēpumu no jauna, nevis ielīmējiet to, un notīriet visus saglabātos akreditācijas datus, kuros var būt vecāka vērtība.

Atzare, ko cilvēki izlaiž, ir apturēts palīgpakalpojums. Kad piegādātāja klients ir atkarīgs no sava pakalpojuma, lai nodotu akreditācijas datus vārtejai, atspējots vai sabrucis pakalpojums rada 691, pat ja parole ir pareiza. Pārbaudiet piegādātāja pakalpojuma stāvokli pirms konta atiestatīšanas, īpaši pēc restartēšanas vai atjauninājuma.

Lai atdalītu atzares, pārbaudiet to pašu lietotājvārdu citā strādājošā VPN profilā vai RADIUS testa kontā. Ja tas izdodas, akreditācijas dati ir kārtībā un vietējais klienta ceļš ir aizdomīgs. Ja tas neizdodas tāpat, problēma ir kontā vai vārtejas politikā.

Mainiet vienu slāni katrā mēģinājumā

Strādājiet no ārpuses uz iekšu: sasniedzamība un NAT caureja, pēc tam iepriekš koplietotā atslēga, pēc tam vietējais adaptera steks, pēc tam akreditācijas dati, pēc tam serveru kopa un pakalpojumi. Šī secība atbilst posmiem, ko apraksta kodi, un ļauj katru rezultātu attiecināt uz vienu izmaiņu.

Uzturiet īsu žurnālu par kodu pirms un pēc katra mēģinājuma, klienta versiju un to, vai tika mainīts serveris vai klients. Secība, piemēram, 789, pēc tam 720, pēc tam 691, ir progresa karte; viens un tas pats kods divreiz nozīmē, ka pēdējā izmaiņa neattiecās uz šo posmu. Windows pārinstalēšana izdzēš šo karti un reti salabo kļūmi, kas dzīvo vārtejā.

Kad kods pārstāj mainīties, pārstājiet mainīt lietas. Reģistrējiet pašreizējo kodu, servera adresi, autentifikācijas metodi un mēģinājuma laiku, pēc tam salīdziniet šo ierakstu ar strādājošu klientu. Atšķirība starp diviem ierakstiem parasti ir mazāka nekā labojumu saraksts, ko cilvēki mēģina pēc noklusējuma.