Windows VPN не се поврзува? Усогласете го кодот со дневникот на настани

Во петокот работеше. Во понеделникот истиот Windows клиент одговара со дијалог што вели дека обидот за поврзување не успеа, а реченицата под него е онаа што веќе сте ја виделе за десетици неповрзани проблеми. Тој дијалог е крајот на синџирот, а не неговиот почеток. Windows ја крие фазата во која обидот навистина умре, а два мали докази ја именуваат: нумеричкиот код на резултатот и еден настан RasClient од таа иста минута. Ова е редоследот што го користам — фиксирајте го обидот, прочитајте го кодот, извлечете го настанот, па сменете точно еден слој.

Текстот на дијалогот е последниот чекор, а не причината

Реченицата што ја читате се избира откако обидот веќе се одвиткал. „Врската беше прекината од далечинскиот сметач пред да се воспостави врската“ се појавува кога серверот ќе ја спушти слушалката среде преговори, кога IPsec не успеа пред вашето корисничко име воопшто да биде испратено, и кога политиката целосно го одби тунелот. Три различни сопственици, една реченица. Третирајте го формулирањето како класа на симптоми и не дозволувајте да насочува ништо додека кодот не се согласи со него.

Она што сѐ уште можете да го фиксирате е самиот обид. Запишете го името на врската, типот на тунелот зачуван во профилот — PPTP, L2TP/IPsec, SSTP или IKEv2 —, времето до секундата и кодот. Ако не сте сигурни кој протокол навистина работел, отворете %APPDATA%\Microsoft\Network\Connections\Pbk\rasphone.pbk и прочитајте го записот наместо да и верувате на меморијата; профилот повторно искористен за нов протокол го задржува своето старо прикажано име.

Прочитајте го бројот пред да ги читате зборовите

Кодовите паѓаат во три фази, и фазата е поважна од точниот израз: автентикациска размена до која се стигна и која беше одбиена, сервер што никогаш не одговори, или преговори што се срушија откако врската се крена. 691 е првиот вид — проверката на акредитивите се изврши и не успеа, било поради лоша лозинка, заклучена или истечена сметка, или автентикациски протокол што серверот не го прифаќа. 812 е исто така одбивање, но со валидни акредитиви: политика на серверот за далечински пристап одлучи против вас. Microsoft го одржува канонскиот списокот на кодови за грешки при бирање и VPN врска, и вреди да го прочитате својот број таму пред да го барате текстот на пораката.

809 е спротивната класа: ништо не се врати. Тоа е проблем со патеката — TCP 443 е филтриран за SSTP, GRE е блокиран за PPTP, UDP 500 и 4500 или ESP се отфрлени за премин на IPsec. Нова лозинка не може да го поправи, а ни нов сертификат. 720 значи дека врската се крена и PPP никогаш не ги заврши преговорите, што укажува на неусогласеност на протоколот или сервер што не можел да додели адреса. 789, или 13801 на IKEv2, е идентитет во IPsec: сертификат чиј предмет не се совпаѓа со името што го бирате, недоверлив синџир или претходно споделен клуч што се разликува меѓу двата краја.

Извлечете го настанот RasClient за таа иста минута

Во Прегледувачот на настани Windows Logs > Application, филтриран по извор RasClient, е првото место за гледање. Описот на Microsoft за грешката 720 упатува на настанот 20227 во тој дневник. Истиот давател издава други идентификатори за други резултати, затоа читајте ја пораката и вградениот код на резултатот наместо да го третирате ID-то како дијагноза; општ дијалог плус 20227 што носи 720 е веќе многу потесна приказна.

Од PowerShell, без кликнување низ GUI:

Get-WinEvent -FilterHashtable @{
  LogName      = 'Application'
  ProviderName = 'RasClient'
  StartTime    = (Get-Date).AddMinutes(-15)
} | Format-List TimeCreated, Id, Message

Празниот резултат е информативен. Обично значи дека бирањето никогаш не отишло доволно далеку за RAS да запише нешто, или дека софтверот што не успеа воопшто не е матичниот клиент — клиентите од трети страни држат своја дијагностика и често не пишуваат ништо во дневникот Application. Проверете го дневникот на добавувачот пред да заклучите дека евидентирањето на настани е расипано.

Изградете една временска линија наместо куп настани

Јамките за повторен обид создаваат шум. Пет автоматски повторни поврзувања оставаат група настани, а искушението е да се читаат како една низа со една причина. Тоа се пет одделни обиди, и само некои од нив стигнаа до сервер. Земете прозорец од две или три минути, едно име на врска, и наведете го секој настан со неговиот сопствен код пред да интерпретирате нешто.

Потоа прашајте каде застана обидот. Кога портата или заднината за автентикација не држи никаков запис за таа временска ознака, клиентот никогаш не стигнал до неа, и вие гледате проблем со достапност. Кога заднината покажува барање и одбивање, одлуката е донесена таму, и се применува класата на акредитиви или политика. Споредете ги часовниците пред да ги споредувате времињата: клиентите пријавуваат локално време, многу порти запишуваат во UTC, а отстапувањето ќе направи совршено корелиран пар да изгледа неповрзан.

За повторливо снимање, бирајте од командната линија и оставете ја да го испечати резултатот:

rasdial "Office VPN"
rasdial "Office VPN" /disconnect

Конзолата го покажува бројот што GUI го крие зад пријателски текст, а извршувањето двапати ви кажува дали кодот е стабилен или повремен.

Што ви кажува секоја фаза да смените

Именувањето на фазата е корисно само ако го намалува множеството промени на еден слој:

• 691 — автентикација: EAP методот што клиентот го нуди наспроти оној што серверот го прифаќа, состојбата на сметката, истекот на лозинката, дозволата за бирање.
• 812 — политика на серверот: политиката за далечински пристап или правилото NPS што одговара на овој корисник и на овој временски прозорец.
• 809 — достапност: правилата на огнениот ѕид на патеката, NAT и преминот на протоколот, портата што му е потребна на избраниот тип тунел.
• 720 — PPP преговори: неусогласеност на автентикацискиот протокол, доделување адреса, PPP поставка на страната на серверот.
• 789 / 13801 — IPsec идентитет: предмет на сертификатот наспроти името што го бирате, синџир на доверба, претходно споделен клуч.

Сменете едно од тие, повторно тестирајте го истиот профил и запишете го новиот код. Различен код по промената е напредок, а не противречност: го преместивте откажувањето во подоцнежна фаза, и така изгледа поправањето на повеќефазно ракување. Она што не треба да го правите е да ги смените огнениот ѕид, сертификатот и лозинката во едно седење и потоа заслугата да ја дадете на тоа што дошло последно.

Споделете ги доказите, не околината

Пораките за настани се побогати отколку што изгледаат. Тие го носат името на врската, сметката, често внатрешното име или адресата на портата, а понекогаш и отпечаток на сертификат. Чувајте го оригиналот таму каде што му е местото, и изградете одделна редактирана копија за било кој друг; препишувањето на временската линија од меморија ги губи токму деталите што ја прават корисна.

Предавањето што ќе се обработува бара пет полиња: кодот, фазата на која ѝ припаѓа, клиентот и типот на тунел, временската ознака со нејзината временска зона, и дали портата воопшто го видела барањето. Сѐ друго е изборно. Со тие пет, следниот човек може да разликува расправа за акредитиви од расправа за рутирање без да ја повторува истрагата.

Пред да затворите нешто, повторете го обидот на истиот профил и потврдете каде сега паѓа кодот. Успехот го завршува; различен неуспех значи дека првобитната фаза е поправена и следната е во ваши раце.