Ralat L2TP/IPsec 789, 720 atau 691: betulkan peringkat yang betul dahulu

Windows 11 melaporkan nombor berbeza bagi setiap peringkat L2TP/IPsec, dan nombor itu menandakan peringkat dan bukan menilai kegagalan. 789 gagal sebelum pautan PPP wujud, 720 gagal semasa pautan dinaikkan, dan 691 gagal selepas pautan naik dan kelayakan ditolak. Keputusan yang berguna bukanlah pembetulan mana yang paling popular; tetapi peringkat mana yang dibuktikan oleh kod itu telah anda capai. Baca itu dahulu, kemudian tukar satu lapisan bagi setiap percubaan supaya kod seterusnya masih memberitahu anda sesuatu.

Baca kod sebagai peringkat, bukan sebagai senarai kerosakan

Sambungan L2TP merentasi tiga sempadan dalam susunan tetap. IKE berunding persatuan keselamatan melalui UDP 500, lintasan NAT memindahkan trafik itu ke UDP 4500, dan hanya selepas itu terowong L2TP membawa sesi PPP yang mengesahkan pengguna dan memberikan alamat.

Susunan itulah sebabnya kod ralat yang berubah menjadi bukti yang berguna. Beralih daripada 789 ke 720 bermakna IPsec kini berunding dan kegagalan telah beralih kepada penubuhan pautan. Beralih daripada 720 ke 691 bermakna pautan telah naik dan get laluan menolak identiti. Jika anda menggunakan lima pembetulan sekali gus, anda kehilangan isyarat itu dan tidak dapat mengetahui perubahan mana yang berkesan.

789: pilih antara laluan dan dasar tempatan

Kod 789 ialah ralat pemprosesan semasa rundingan keselamatan awal. IPsec tidak pernah menghasilkan persatuan yang boleh digunakan, jadi akaun itu belum diuji. Mulakan dengan laluan dan kunci kongsi, bukan dengan akaun.

Sahkan bahawa UDP 500 dan UDP 4500 sampai ke pelayan dan kunci yang dikongsi terlebih dahulu sepadan bait demi bait, termasuk huruf besar dan kecil serta ruang di hujung. Jika pelayan berada di belakang NAT, Windows mungkin juga memerlukan nilai daftar yang didokumenkan. Gunakan 1 apabila pelayan berada di belakang NAT dan 2 apabila kedua-dua hujung begitu, kemudian mulakan semula kerana ejen dasar membaca nilai itu semasa permulaan:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Pembaikan penyesuai yang lebih berat tergolong dalam cabang yang lain. Menanggalkan peranti Wi-Fi dan port mini WAN lalu mengimbas semula perkakasan adalah wajar apabila tindanan IPsec tempatan itu sendiri rosak dan jenis VPN lain gagal dengan cara yang sama. Ia usaha yang sia-sia apabila hanya satu pelayan L2TP gagal sementara setiap laluan rangkaian lain berfungsi.

720: pilih antara penyesuai ini dan kumpulan pelayan

Ralat 720 melaporkan bahawa sambungan ke komputer jauh tidak dapat diwujudkan, dan ia muncul selepas IPsec berjaya. Terowong itu mencapai tahap menaikkan antara muka atau mendapatkan alamat, kemudian berhenti. Itu menjadikannya persoalan penyesuai tempatan atau persoalan kapasiti pelayan.

Gunakan jejari kesan untuk membuat keputusan. Satu mesin Windows gagal menunjuk kepada port mini WAN yang rosak, perkhidmatan Remote Access yang berhenti atau profil sambungan yang rosak. Beberapa klien gagal pada masa yang sama menunjuk kepada pelayan: kumpulan alamat yang habis, perkhidmatan RRAS yang berhenti atau kumpulan yang tidak lagi sepadan dengan subnet klien. Betulkan sisi yang ditunjukkan oleh corak itu sebelum menukar sisi yang lain.

Pada cabang satu klien, tanggalkan port mini WAN sekali dan imbas perubahan perkakasan, kemudian mulakan semula dan cuba lagi. Pada cabang pelayan, semak kumpulan dan keadaan perkhidmatan dan bukan klien, kerana memasang semula penyesuai yang berfungsi tidak boleh mencipta alamat yang tiada pada pelayan.

691: pilih antara kelayakan dan pembantu yang berhenti

Kod 691 ialah penolakan pengesahan, dan ia kod yang paling kerap disalahtafsirkan sebagai kata laluan yang salah. Terowong itu naik, get laluan melihat identiti, dan menolak identiti itu. Puncanya masih boleh berada di luar medan kata laluan.

Semak medan domain dahulu, kemudian aksara tepat dalam kata laluan. Kata laluan yang mengandungi ruang, tanda petik atau aksara khas shell boleh rosak sebelum sampai ke pelayan; pada Linux, pppd melaporkan penolakan yang sama seperti E=691 untuk nilai tanpa tanda petik atau domain yang hilang. Taip semula rahsia itu dan bukan menampalnya, dan padamkan sebarang kelayakan tersimpan yang mungkin menyimpan nilai lama.

Cabang yang orang terlepas pandang ialah perkhidmatan pembantu yang berhenti. Apabila klien vendor bergantung pada perkhidmatannya sendiri untuk menyampaikan kelayakan kepada get laluan, perkhidmatan yang dilumpuhkan atau ranap menghasilkan 691 walaupun kata laluan itu betul. Semak keadaan perkhidmatan vendor sebelum menetapkan semula akaun, terutamanya selepas permulaan semula atau kemas kini.

Untuk memisahkan cabang, uji nama pengguna yang sama pada profil VPN lain yang berfungsi atau akaun ujian RADIUS. Jika itu berjaya, kelayakan itu baik dan laluan klien tempatan mencurigakan. Jika ia gagal dengan cara yang sama, masalahnya ialah akaun atau dasar get laluan.

Tukar satu lapisan bagi setiap percubaan

Bekerja dari luar ke dalam: kebolehcapaian dan lintasan NAT, kemudian kunci yang dikongsi terlebih dahulu, kemudian tindanan penyesuai tempatan, kemudian kelayakan, kemudian kumpulan pelayan dan perkhidmatan. Susunan itu mengikut peringkat yang diterangkan oleh kod dan mengekalkan setiap hasil boleh dikaitkan dengan satu perubahan.

Simpan log pendek tentang kod sebelum dan selepas setiap percubaan, binaan klien, dan sama ada pelayan atau klien diubah. Urutan seperti 789, kemudian 720, kemudian 691 ialah peta kemajuan; kod yang sama dua kali bermakna perubahan terakhir tidak menangani peringkat itu. Memasang semula Windows memadam peta ini dan jarang membaiki kegagalan yang tinggal di get laluan.

Apabila kod berhenti berubah, berhenti mengubah benda. Catat kod semasa, alamat pelayan, kaedah pengesahan dan masa percubaan, kemudian bandingkan rekod itu dengan klien yang berfungsi. Perbezaan antara kedua-dua rekod biasanya lebih kecil daripada senarai pembetulan yang dicuba orang secara lalai.