VPN-fout 10051: uw route, niet uw wachtwoord

Een Windows-tunnel mislukt en het logboek biedt het nummer 10051. Dat is WSAENETUNREACH, gemeld wanneer een socketbewerking geen bruikbaar pad naar de bestemming vindt. Het is geen geweigerd wachtwoord, geen verlopen certificaat en geen bewijs dat de server een tunnelpakket zag en weigerde.

Twee verschillende bewerkingen kunnen het in één sessie produceren. Ze betekenen verschillende dingen en horen bij verschillende eigenaren.

Wat de code meldt en wat niet

De fout beschrijft een lokale beslissing: de stack kon geen route naar de gevraagde bestemming vinden, dus de bewerking verliet nooit de machine. Dat is een uitspraak over het pad, niet over de mening van de tegenpartij over uw inloggegevens. Het lezen als een authenticatiefout stuurt u naar certificaatarchieven en accountherstel voor een probleem dat zij niet kunnen veroorzaken. De code zegt ook niets over of een firewall verderop het pakket zou hebben toegestaan, want er is geen pakket verzonden.

Bewaar de omringende logregels wanneer u het vastlegt. Het nummer alleen verliest de bestemming, het transport en het moment, en die drie feiten maken de vermelding een week later interpreteerbaar.

Welke bewerking mislukte, en wanneer

Een fout terwijl de client het buitenste eindpunt van de VPN bereikt, is een ander geval dan een toepassingsfout nadat de tunnel is opgezet. In het eerste ontbreekt het transportpad naar de server of is het weggenomen. In het tweede bestaat de tunnel en iets erin kan de gevraagde bestemming niet oplossen of routeren. Dezelfde code, een andere laag, een andere eigenaar. De tijdstempel ten opzichte van de verbindingspoging beslist meestal welke u hebt.

Citeer de mislukte bewerking in plaats van alleen de fout: verbinding met welk adres, via welk transport en op welk punt in de reeks. Juist die formulering stelt een tweede persoon in staat de beslissing te reproduceren.

Vergelijk het eindpunt en de adresfamilie

Noteer de opgeloste bestemming, het transport en de poort. Als de naam zowel een IPv4- als een IPv6-adres teruggeeft, verklaart een werkende IPv4-controle niets over een mislukte IPv6-poging. De client probeert misschien de familie die u nooit hebt getest, en het forceren van de andere familie verandert het experiment in plaats van het te repareren.

Resolve-DnsName vpn.example.net -Type A,AAAA
Find-NetRoute -RemoteIPAddress 198.51.100.62
Get-NetConnectionProfile

De routequery geeft het beste lokale adres en de route voor die bestemming in de huidige toestand terug, dus voer hem uit terwijl de storing aanwezig is. Een losgekoppelde adapter, een gewijzigd netwerk of een onverwachte route zien er allemaal anders uit nadat alles is gereset. Een tweede actieve tunnel kan het eindpuntpad ook overnemen, wat deze code voor de ene client oplevert en niet voor de andere.

Onthoud wat een routeantwoord is: één lokale beslissing, geen toestemming om te verzenden. Het kan u niet vertellen of een firewall het datagram zou accepteren of of er iets aan de andere kant luistert.

Andere socketfouten en de overdracht

Fout 10054 is een ander rapport, en bij een UDP-ontvangst kan hij een ICMP-poort-onbereikbaar tonen die bij een eerdere verzending hoort. Dat is een bericht over een specifieke bestemmingspoort, geen uitspraak dat er geen route bestaat, en de twee leiden tot verschillende onderzoeken. Elk socketnummer als variant van verbinding mislukt behandelen is de manier waarop een ontbrekende route wordt 'gerepareerd' door een client opnieuw te installeren.

De bruikbare overdracht bevat de exacte code, de mislukte bewerking, het eindpunt en de adresfamilie, de gekozen route en het tijdstip van elke netwerkwijziging. Corrigeer het aangetoonde padprobleem via degene die die configuratie bezit. Certificaten vervangen of de tegenpartijverificatie uitschakelen kan geen route leveren die niet bestaat, en beide maken de uiteindelijke diagnose moeilijker.