L2TP/IPsec-fout 789, 720 of 691: herstel eerst de juiste fase

Windows 11 meldt een ander nummer voor elke L2TP/IPsec-fase, en dat nummer markeert een fase in plaats van de storing te beoordelen. 789 mislukt voordat de PPP-verbinding bestaat, 720 mislukt terwijl de verbinding wordt opgebouwd, en 691 mislukt nadat de verbinding staat en de inloggegevens worden geweigerd. De nuttige beslissing is niet welke oplossing het populairst is; het is welke fase de code bewijst dat u hebt bereikt. Lees dat eerst en wijzig daarna één laag per poging, zodat de volgende code u nog iets vertelt.

Lees de code als een fase, niet als een storingenlijst

Een L2TP-verbinding doorkruist drie grenzen in een vaste volgorde. IKE onderhandelt beveiligingsassociaties over UDP 500, NAT-traversal verplaatst dat verkeer naar UDP 4500, en pas daarna draagt de L2TP-tunnel een PPP-sessie die de gebruiker authenticeert en een adres toewijst.

Die volgorde is de reden waarom een veranderende foutcode nuttig bewijs is. Van 789 naar 720 gaan betekent dat IPsec nu onderhandelt en dat de storing is verschoven naar het opzetten van de verbinding. Van 720 naar 691 gaan betekent dat de verbinding opkwam en dat de gateway de identiteit weigerde. Als u vijf oplossingen tegelijk toepast, verliest u dat signaal en kunt u niet zeggen welke wijziging werkte.

789: kies tussen het pad en het lokale beleid

Code 789 is een verwerkingsfout tijdens de eerste beveiligingsonderhandelingen. IPsec heeft nooit een bruikbare associatie geproduceerd, dus het account is nog niet getest. Begin met het pad en de gedeelde sleutel, niet met het account.

Bevestig dat UDP 500 en UDP 4500 de server bereiken en dat de vooraf gedeelde sleutel byte voor byte overeenkomt, inclusief hoofdletters en spaties aan het einde. Als de server achter NAT staat, heeft Windows mogelijk ook de gedocumenteerde registerwaarde nodig. Gebruik 1 wanneer de server achter NAT staat en 2 wanneer beide uiteinden dat zijn, en start daarna opnieuw, omdat de beleidsagent de waarde bij het opstarten leest:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

De zwaardere adapterreparatie hoort bij de andere tak. Het verwijderen van het Wi-Fi-apparaat en de WAN-minipoorten en daarna opnieuw scannen naar hardware is gerechtvaardigd wanneer de lokale IPsec-stack zelf beschadigd is en andere VPN-typen op dezelfde manier mislukken. Het is verspilde moeite wanneer alleen één L2TP-server mislukt terwijl elk ander netwerkpad werkt.

720: kies tussen deze adapter en de serverpool

Fout 720 meldt dat de verbinding met de externe computer niet tot stand kon worden gebracht, en verschijnt nadat IPsec is geslaagd. De tunnel bereikte het punt waarop een interface wordt opgetild of een adres wordt verkregen, en stopte daarna. Dat maakt het een kwestie van de lokale adapter of van servercapaciteit.

Gebruik de impactradius om te beslissen. Eén Windows-machine die mislukt wijst op een defecte WAN-minipoort, een gestopte Remote Access-service of een beschadigd verbindingsprofiel. Meerdere clients die tegelijk mislukken wijzen op de server: een uitgeputte adrespool, een gestopte RRAS-service of een pool die niet meer bij het subnet van de client past. Herstel de kant die het patroon aanwijst voordat u de andere wijzigt.

In de tak met één client verwijdert u de WAN-minipoorten één keer en scant u op hardwarewijzigingen, start daarna opnieuw en probeer het opnieuw. In de servertak controleert u de pool en de servicestatus in plaats van de client, omdat het opnieuw installeren van een werkende adapter geen adres kan maken dat de server niet heeft.

691: kies tussen de inloggegevens en een gestopte helper

Code 691 is een authenticatieweigering, en het is de code die het vaakst verkeerd wordt gelezen als een verkeerd wachtwoord. De tunnel staat, de gateway zag een identiteit en weigerde die. De oorzaak kan nog steeds buiten het wachtwoordveld liggen.

Controleer eerst het domeinveld en daarna de exacte tekens in het wachtwoord. Een wachtwoord met een spatie, een aanhalingsteken of een shell-speciaal teken kan worden verminkt voordat het de server bereikt; op Linux pppd meldt dezelfde weigering als E=691 voor een waarde zonder aanhalingstekens of een ontbrekend domein. Typ het geheim opnieuw in plaats van het te plakken, en wis opgeslagen inloggegevens die een oudere waarde kunnen bevatten.

De tak die mensen missen is een gestopte hulpservice. Wanneer een leveranciersclient van zijn eigen service afhankelijk is om inloggegevens aan de gateway door te geven, levert een uitgeschakelde of gecrashte service 691 op, zelfs als het wachtwoord correct is. Controleer de servicestatus van de leverancier voordat u het account reset, vooral na een herstart of een update.

Om de takken te scheiden, test u dezelfde gebruikersnaam tegen een ander werkend VPN-profiel of een RADIUS-testaccount. Als dat lukt, zijn de inloggegevens in orde en is het lokale clientpad verdacht. Als het op dezelfde manier mislukt, is het probleem het account of het gatewaybeleid.

Wijzig één laag per poging

Werk van buiten naar binnen: bereikbaarheid en NAT-traversal, dan de vooraf gedeelde sleutel, dan de lokale adapterstack, dan de inloggegevens, dan de serverpool en de services. Die volgorde volgt de fasen die de codes beschrijven en houdt elk resultaat toeschrijfbaar aan één wijziging.

Houd een kort log bij van de code voor en na elke poging, de clientbuild en of de server of de client is gewijzigd. Een reeks zoals 789, dan 720, dan 691 is een kaart van de voortgang; dezelfde code twee keer betekent dat de laatste wijziging die fase niet heeft aangepakt. Windows opnieuw installeren wist deze kaart en verhelpt zelden een storing die in de gateway zit.

Wanneer de code ophoudt met veranderen, stop dan met dingen veranderen. Leg de huidige code, het serveradres, de authenticatiemethode en het tijdstip van de poging vast en vergelijk dat record met een client die werkt. Het verschil tussen de twee records is meestal kleiner dan de lijst met oplossingen die mensen standaard proberen.