Грешка L2TP/IPsec 789, 720 или 691: прво поправете ја вистинската фаза

Windows 11 пријавува различен број за секоја фаза од L2TP/IPsec, и тој број означува фаза наместо да го оценува дефектот. 789 не успева пред да постои PPP врската, 720 не успева додека врската се крева, а 691 не успева откако врската ќе се крене и акредитивите се одбиени. Корисната одлука не е која поправка е најпопуларна; туку која фаза кодот докажува дека сте ја достигнале. Прочитајте го тоа прво, потоа менувајте еден слој по обид за следниот код да ви каже уште нешто.

Читајте го кодот како фаза, не како список на дефекти

L2TP врската преминува три граници по фиксен редослед. IKE преговара за безбедносни асоцијации преку UDP 500, NAT преминот го преместува тој сообраќај на UDP 4500, и само тогаш L2TP тунелот носи PPP сесија што го автентификува корисникот и доделува адреса.

Токму овој редослед го прави променливиот код на грешка корисен доказ. Преминот од 789 на 720 значи дека IPsec сега преговара и дефектот се преместил на воспоставување на врската. Преминот од 720 на 691 значи дека врската се кренала и портата го одбила идентитетот. Ако примените пет поправки одеднаш, го губите тој сигнал и не можете да кажете која промена работела.

789: изберете помеѓу патеката и локалната политика

Кодот 789 е грешка при обработка за време на почетните безбедносни преговори. IPsec никогаш не создаде употреблива асоцијација, затоа сметката досега не е тестирана. Започнете со патеката и споделениот клуч, а не со сметката.

Потврдете дека UDP 500 и UDP 4500 стигнуваат до серверот и дека однапред споделениот клуч се совпаѓа бајт по бајт, вклучително големи и мали букви и празни места на крајот. Ако серверот е зад NAT, на Windows може да му треба и документираната вредност од регистарот. Користете 1 кога серверот е зад NAT и 2 кога двата краја се, потоа рестартирајте затоа што агентот за политика ја чита вредноста при стартување:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Потешката поправка на адаптерот припаѓа на другата гранка. Отстранувањето на Wi-Fi уредот и WAN минипортите и потоа повторно скенирање за хардвер е оправдано кога самиот локален IPsec стек е оштетен и другите типови VPN не успеваат на ист начин. Тоа е залуден труд кога не успева само еден L2TP сервер, додека сите други мрежни патеки работат.

720: изберете помеѓу овој адаптер и базенот на сервери

Грешката 720 пријавува дека врската со далечинскиот компјутер не може да се воспостави, и се појавува откако IPsec успеал. Тунелот стигна до точката на кревање интерфејс или добивање адреса, потоа запре. Тоа го прави прашање на локален адаптер или прашање на капацитет на серверот.

Користете радиус на влијание за да одлучите. Неуспехот на една Windows машина укажува на лош WAN минипорт, запрена услуга Remote Access или оштетен профил на врска. Неуспехот на неколку клиенти истовремено укажува на серверот: исцрпен базен на адреси, запрена RRAS услуга или базен што веќе не одговара на подмрежата на клиентот. Поправете ја страната кон која укажува шемата пред да ја смените другата.

Во гранката со еден клиент отстранете ги WAN минипортите еднаш и скенирајте за хардверски промени, потоа рестартирајте и обидете се повторно. Во серверската гранка проверете го базенот и состојбата на услугата наместо клиентот, бидејќи реинсталирањето на исправен адаптер не може да создаде адреса што серверот ја нема.

691: изберете помеѓу акредитивот и запрен помошник

Кодот 691 е одбивање на автентикација, и тоа е кодот што најчесто погрешно се чита како погрешна лозинка. Тунелот е кренат, портата виде идентитет и го одби. Причината сепак може да биде надвор од полето за лозинка.

Прво проверете го полето за домен, потоа точните знаци во лозинката. Лозинка што содржи празно место, наводник или специјален знак за школка може да се расипе пред да стигне до серверот; на Linux, pppd пријавува исто одбивање како E=691 за вредност без наводници или домен што недостасува. Повторно внесете ја тајната наместо да ја залепите, и избришете ги сите зачувани акредитиви што може да содржат постара вредност.

Гранката што луѓето ја пропуштаат е запрена помошна услуга. Кога клиент на добавувач зависи од сопствената услуга за да пренесе акредитиви до портата, оневозможена или падната услуга произведува 691 дури и кога лозинката е точна. Проверете ја состојбата на услугата на добавувачот пред да ја ресетирате сметката, особено по рестартирање или ажурирање.

За да ги одвоите гранките, тестирајте го истото корисничко име на друг исправен VPN профил или RADIUS тест сметка. Ако тоа успее, акредитивот е во ред и локалната клиентска патека е сомнителна. Ако не успее на ист начин, проблемот е сметката или политиката на портата.

Менувајте еден слој по обид

Работете однадвор навнатре: достапност и NAT премин, потоа однапред споделениот клуч, потоа локалниот адаптерски стек, потоа акредитивот, потоа базенот на сервери и услугите. Тој редослед ги следи фазите што ги опишуваат кодовите и го задржува секој резултат поврзан со една промена.

Водете краток дневник за кодот пред и по секој обид, за верзијата на клиентот и за тоа дали е сменет серверот или клиентот. Редослед како 789, потоа 720, потоа 691 е карта на напредок; истиот код двапати значи дека последната промена не ја опфатила таа фаза. Реинсталирањето на Windows ја брише оваа карта и ретко поправа дефект што живее на портата.

Кога кодот ќе престане да се менува, престанете да менувате работи. Забележете го тековниот код, адресата на серверот, методот на автентикација и времето на обидот, потоа споредете го тој запис со клиент што работи. Разликата меѓу двата записи обично е помала од списокот поправки што луѓето ги пробуваат стандардно.