Windows VPN neizveido savienojumu? Saskaņojiet kodu ar notikumu žurnālu

Piektdien tas darbojās. Pirmdien tas pats Windows klients atbild ar dialogu, kas saka, ka savienojuma mēģinājums neizdevās, un zem tā esošais teikums ir tāds, ko jau esat redzējis desmitiem nesaistītu problēmu gadījumā. Šis dialogs ir ķēdes beigas, nevis sākums. Windows slēpj posmu, kurā mēģinājums patiešām nomira, un divi mazi pierādījumi to nosauc: ciparu rezultāta kods un viens RasClient notikums no tās pašas minūtes. Lūk, kārtība, ko izmantoju — nofiksējiet mēģinājumu, izlasiet kodu, izvelciet notikumu un pēc tam nomainiet tieši vienu slāni.

Dialoga teksts ir pēdējais solis, nevis cēlonis

Teikums, ko lasāt, tiek izvēlēts pēc tam, kad mēģinājums jau ir atritinājies. "Savienojumu pārtrauca attālinātais dators, pirms savienojums tika izveidots" parādās, kad serveris noliek klausuli sarunu vidū, kad IPsec neizdevās pirms jūsu lietotājvārda nosūtīšanas, un kad politika tuneli vienkārši noraidīja. Trīs dažādi saimnieki, viens teikums. Uztveriet formulējumu kā simptomu klasi un neļaujiet tam neko vadīt, kamēr kods tam nepiekrīt.

To, ko vēl varat nofiksēt, ir pats mēģinājums. Pierakstiet savienojuma nosaukumu, profilā saglabāto tuneļa tipu — PPTP, L2TP/IPsec, SSTP vai IKEv2 —, laiku līdz sekundei un kodu. Ja neesat pārliecināts, kurš protokols patiešām darbojās, atveriet %APPDATA%\Microsoft\Network\Connections\Pbk\rasphone.pbk un izlasiet ierakstu, nevis paļaujieties uz atmiņu; profils, kas atkārtoti izmantots jaunam protokolam, saglabā savu veco parādāmo nosaukumu.

Izlasiet skaitli pirms vārdu lasīšanas

Kodi sadalās trīs posmos, un posms ir svarīgāks par precīzo formulējumu: sasniegta un noraidīta autentifikācijas apmaiņa, serveris, kas nekad neatbildēja, vai sarunas, kas sabruka pēc tam, kad saite pacēlās. 691 ir pirmais veids — akreditācijas datu pārbaude notika un neizdevās, vai nu nepareizas paroles, bloķēta vai beigušā konta, vai servera nepieņemta autentifikācijas protokola dēļ. 812 arī ir atteikums, bet ar derīgiem akreditācijas datiem: politika attālinātās piekļuves serverī nolēma pret jums. Microsoft uztur kanonisko zvanu un VPN savienojumu kļūdu kodu sarakstu, un ir vērts tur izlasīt savu numuru pirms ziņojuma teksta meklēšanas.

809 ir pretējā klase: nekas neatgriezās. Tā ir ceļa problēma — TCP 443 filtrēts SSTP, GRE bloķēts PPTP, UDP 500 un 4500 vai ESP nomests IPsec caurlaidībai. Jauna parole to nevar salabot, un jauns sertifikāts arī ne. 720 nozīmē, ka saite pacēlās un PPP nekad nepabeidza sarunas, kas norāda uz protokola nesaderību vai serveri, kas nevarēja piešķirt adresi. 789, vai 13801 IKEv2 gadījumā, ir identitāte IPsec iekšienē: sertifikāts, kura subjekts neatbilst numuram, ko zvanāt, neuzticama ķēde vai iepriekš kopīgota atslēga, kas atšķiras starp diviem galiem.

Izvelciet tās pašas minūtes RasClient notikumu

Notikumu skatītājā Windows Logs > Application, filtrēts pēc avota RasClient, ir pirmā vieta, kur skatīties. Microsoft raksts par 720 kļūdu norāda uz šī žurnāla 20227 notikumu. Tas pats pakalpojumu sniedzējs izdod citus identifikatorus citiem rezultātiem, tāpēc lasiet ziņojumu un tajā iegulto rezultāta kodu, nevis uzskatiet ID par diagnozi; vispārīgs dialogs plus 20227, kas nes 720, jau ir daudz šaurāks stāsts.

No PowerShell, neklikšķinot pa GUI:

Get-WinEvent -FilterHashtable @{
  LogName      = 'Application'
  ProviderName = 'RasClient'
  StartTime    = (Get-Date).AddMinutes(-15)
} | Format-List TimeCreated, Id, Message

Tukšs rezultāts ir informatīvs. Tas parasti nozīmē, ka zvanīšana nekad netika tik tālu, lai RAS kaut ko reģistrētu, vai ka neizdevusies programmatūra nemaz nav vietējais klients — trešo pušu klienti tur savu diagnostiku un bieži neko neraksta Application žurnālā. Pārbaudiet piegādātāja žurnālu, pirms secināt, ka notikumu reģistrēšana ir salūzusi.

Veidojiet vienu laika skalu, nevis notikumu kaudzi

Atkārtoto mēģinājumu cilpas rada troksni. Pieci automātiski atkārtoti savienojumi atstāj notikumu kopu, un kārdinājums ir lasīt tos kā vienu secību ar vienu cēloni. Tie ir pieci atsevišķi mēģinājumi, un tikai daži no tiem sasniedza serveri. Paņemiet divu vai trīs minūšu logu, vienu savienojuma nosaukumu un uzskaitiet katru notikumu ar tā kodu, pirms kaut ko interpretējat.

Tad jautājiet, kur mēģinājums apstājās. Kad vārteja vai autentifikācijas aizmugure neglabā nekādu ierakstu par šo laika zīmogu, klients to nekad nesasniedza, un jūs skatāties uz sasniedzamības problēmu. Kad aizmugure rāda pieprasījumu un atteikumu, lēmums tika pieņemts tur, un attiecas akreditācijas datu vai politikas klase. Salīdziniet pulksteņus pirms laiku salīdzināšanas: klienti ziņo vietējo laiku, daudzas vārtejas reģistrē UTC, un nobīde liks perfekti korelētam pārim izskatīties nesaistītam.

Lai ieraksts būtu atkārtojams, zvaniet no komandrindas un ļaujiet tai izdrukāt rezultātu:

rasdial "Office VPN"
rasdial "Office VPN" /disconnect

Konsole parāda numuru, ko GUI slēpj aiz draudzīga teksta, un palaišana divreiz pasaka, vai kods ir stabils vai periodisks.

Ko katrs posms liek mainīt

Posma nosaukšana ir noderīga tikai tad, ja tā sašaurina izmaiņu kopu līdz vienam slānim:

• 691 — autentifikācija: EAP metode, ko piedāvā klients, pret to, ko pieņem serveris, konta stāvoklis, paroles derīgums, zvanīšanas atļauja.
• 812 — servera politika: attālinātās piekļuves politika vai NPS noteikums, kas atbilst šim lietotājam un šim laika logam.
• 809 — sasniedzamība: ugunsmūra noteikumi ceļā, NAT un protokola caurlaide, ports, kas nepieciešams izvēlētajam tuneļa tipam.
• 720 — PPP sarunas: autentifikācijas protokola nesaderība, adreses piešķiršana, servera puses PPP iestatījums.
• 789 / 13801 — IPsec identitāte: sertifikāta subjekts pret numuru, ko zvanāt, uzticamības ķēde, iepriekš kopīgota atslēga.

Mainiet vienu no tiem, vēlreiz pārbaudiet to pašu profilu un pierakstiet jauno kodu. Cits kods pēc izmaiņām ir progress, nevis pretruna: jūs pārvietojāt kļūmi uz vēlāku posmu, un tā izskatās daudzposmu rokasspiediena labošana. Ko nevajadzētu darīt — mainīt ugunsmūri, sertifikātu un paroli vienā sēdē un pēc tam piešķirt nopelnus tam, kas atnāca pēdējais.

Dalieties ar pierādījumiem, nevis vidi

Notikumu ziņojumi ir bagātāki, nekā izskatās. Tajos ir savienojuma nosaukums, konts, bieži vārtejas iekšējais nosaukums vai adrese, un dažreiz sertifikāta nospiedums. Glabājiet oriģinālu tur, kur tam vieta, un veidojiet atsevišķu rediģētu kopiju jebkuram citam; laika skalas pārrakstīšana no atmiņas pazaudē tieši tos datus, kas to padara noderīgu.

Nodošanai, ar ko strādās, vajag piecus laukus: kodu, posmu, kuram tas pieder, klientu un tuneļa tipu, laika zīmogu ar tā laika joslu un to, vai vārteja vispār redzēja pieprasījumu. Viss pārējais ir neobligāts. Ar šiem pieciem nākamais cilvēks var atšķirt akreditācijas datu strīdu no maršrutēšanas strīda, neatkārtojot izmeklēšanu.

Pirms kaut ko aizverat, atkārtojiet mēģinājumu tajā pašā profilā un apstipriniet, kur kods tagad nonāk. Panākumi to pabeidz; cita kļūme nozīmē, ka sākotnējais posms ir salabots un nākamais ir jūsu rokās.