VPN-feil 10051: ruten din, ikke passordet

En Windows-tunnel feiler, og loggen tilbyr nummeret 10051. Det er WSAENETUNREACH, som rapporteres når en socket-operasjon ikke finner noen brukbar vei til målet. Det er ikke et avvist passord, et utløpt sertifikat eller bevis for at serveren så en tunnelpakke og avviste den.

To forskjellige operasjoner kan produsere det i samme økt. De betyr forskjellige ting og tilhører forskjellige eiere.

Hva koden rapporterer, og hva den ikke gjør

Feilen beskriver en lokal beslutning: stakken fant ingen rute til det forespurte målet, så operasjonen forlot aldri maskinen. Det er en uttalelse om veien, ikke om motpartens mening om påloggingsinformasjonen din. Å lese det som en autentiseringsfeil sender deg i sertifikatlagre og kontogjenopprettinger for et problem de ikke kan forårsake. Koden sier heller ingenting om hvorvidt en brannmur lenger ned ville ha tillatt pakken, fordi ingen pakke ble sendt.

Behold logglinjene rundt når du registrerer det. Nummeret alene mister målet, transporten og øyeblikket, og disse tre fakta er det som gjør oppføringen tolkbar en uke senere.

Hvilken operasjon feilet, og når

En feil mens klienten når det ytre endepunktet til VPN, er et annet tilfelle enn en applikasjonsfeil etter at tunnelen er etablert. I det første mangler transportveien til serveren eller er blitt fjernet. I det andre finnes tunnelen, og noe inne i den kan ikke slå opp eller rute målet du ba om. Samme kode, annet lag, annen eier. Tidsstempelet relativt til tilkoblingsforsøket avgjør vanligvis hvilket du har.

Siter den feilende operasjonen i stedet for bare feilen: tilkobling til hvilken adresse, over hvilken transport og på hvilket punkt i sekvensen. Nettopp den formuleringen gjør det mulig for en annen person å gjenskape beslutningen.

Sammenlign endepunktet og adressefamilien

Registrer det oppslåtte målet, transporten og porten. Hvis navnet returnerer både en IPv4- og en IPv6-adresse, forklarer en fungerende IPv4-sjekk ingenting om et mislykket IPv6-forsøk. Klienten prøver kanskje familien du aldri testet, og å tvinge den andre familien endrer eksperimentet i stedet for å rette det.

Resolve-DnsName vpn.example.net -Type A,AAAA
Find-NetRoute -RemoteIPAddress 198.51.100.62
Get-NetConnectionProfile

Ruteforespørselen returnerer den beste lokale adressen og ruten for det målet i gjeldende tilstand, så kjør den mens feilen er til stede. En frakoblet adapter, et endret nettverk eller en uventet rute ser alle annerledes ut etter at alt er tilbakestilt. En annen aktiv tunnel kan også fange endepunktveien, noe som gir denne koden for én klient og ikke for den andre.

Husk hva et rutesvar er: én lokal beslutning, ikke tillatelse til å sende. Det kan ikke fortelle deg om en brannmur ville godta datagrammet eller om noe lytter i den fjerne enden.

Andre socket-feil og overleveringen

Feil 10054 er en annen rapport, og ved en UDP-mottak kan den vise en ICMP-port-utilgjengelig knyttet til en tidligere sending. Det er en melding om en bestemt målport, ikke en uttalelse om at det ikke finnes noen rute, og de to fører til forskjellige undersøkelser. Å behandle hvert socket-nummer som en variant av tilkobling feilet er måten en manglende rute 'repareres' ved å installere klienten på nytt.

Den nyttige overleveringen inneholder den nøyaktige koden, den feilende operasjonen, endepunktet og adressefamilien, den valgte ruten og tidspunktet for enhver nettverksendring. Rett det påviste veiproblemet gjennom den som eier den konfigurasjonen. Å bytte sertifikater eller slå av motpartsverifisering kan ikke skaffe en rute som ikke finnes, og begge gjør den endelige diagnosen vanskeligere.