L2TP/IPsec-feil 789, 720 eller 691: rett opp rett trinn fyrst

Windows 11 rapporterer eit anna nummer for kvart L2TP/IPsec-trinn, og nummeret markerer eit trinn i staden for å vurdere feilen. 789 feilar før PPP-sambandet finst, 720 feilar medan sambandet blir bygt opp, og 691 feilar etter at sambandet er oppe og påloggingsinformasjonen blir avvist. Den nyttige avgjerda er ikkje kva retting som er mest populær; det er kva trinn koden beviser at du har nådd. Les det først, og byt deretter eitt lag per forsøk slik at den neste koden framleis fortel deg noko.

Les koden som eit trinn, ikkje som ei feilliste

Ein L2TP-tilkopling kryssar tre grenser i fast rekkefølgje. IKE forhandlar tryggleiksassosiasjonar over UDP 500, NAT-gjennomgang flyttar trafikken til UDP 4500, og først då ber L2TP-tunnelen ei PPP-økt som autentiserer brukaren og tildeler ei adresse.

Den rekkefølgja er grunnen til at ein skiftande feilkode er nyttig bevis. Å gå frå 789 til 720 betyr at IPsec no forhandlar og at feilen har flytta seg til oppretting av sambandet. Å gå frå 720 til 691 betyr at sambandet kom opp og at gatewayen avviste identiteten. Viss du brukar fem rettingar på ein gong, mistar du signalet og kan ikkje seie kva endring som verka.

789: vel mellom banen og den lokale policyen

Kode 789 er ein behandlingsfeil under dei innleiande tryggleiksforhandlingane. IPsec laga aldri ein brukbar assosiasjon, så kontoen er enno ikkje testa. Start med banen og den delte nøkkelen, ikkje med kontoen.

Stadfest at UDP 500 og UDP 4500 når serveren, og at den førehandsdélte nøkkelen stemmer byte for byte, inkludert store og små bokstavar og mellomrom på slutten. Viss serveren står bak NAT, kan Windows også trenge den dokumenterte registerverdien. Bruk 1 når serveren er bak NAT, og 2 når begge endar er det, og start deretter på nytt fordi policyagenten les verdien ved oppstart:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Den tyngre adapterreparasjonen høyrer til den andre greina. Å fjerne Wi-Fi-eininga og WAN-miniportane og deretter skanne etter maskinvare er grunngjeve når sjølve den lokale IPsec-stakken er skadd og andre VPN-typar feilar på same måte. Det er bortkasta arbeid når berre éin L2TP-server feilar medan alle andre nettverksbanar verkar.

720: vel mellom denne adapteren og servergruppa

Feil 720 rapporterer at tilkoplinga til den eksterne datamaskinen ikkje kunne opprettast, og ho visest etter at IPsec har lukkast. Tunnelen nådde punktet der eit grensesnitt blir heva eller ei adresse blir henta, og stoppa deretter. Det gjer det til eit spørsmål om den lokale adapteren eller serverkapasiteten.

Bruk skadens radius til å avgjere. Éin Windows-maskin som feilar peikar på ein dårleg WAN-miniport, ei stoppa Remote Access-teneste eller ein skadd tilkoplingsprofil. Fleire klientar som feilar samstundes peikar på serveren: ein uttømd adressepool, ei stoppa RRAS-teneste eller ein pool som ikkje lenger passar klienten sitt subnett. Rett den sida mønsteret peikar på før du endrar den andre.

På greina med éin klient fjernar du WAN-miniportane éin gong og skannar etter maskinvareendringar, og startar deretter på nytt og prøver igjen. På servergreina kontrollerer du poolen og tenestestatusen i staden for klienten, fordi nyinstallering av ein fungerande adapter ikkje kan lage ei adresse serveren ikkje har.

691: vel mellom påloggingsinformasjonen og ein stoppa hjelpar

Kode 691 er ei avvising av autentisering, og det er koden som oftast blir lesen feil som eit gale passord. Tunnelen er oppe, gatewayen såg ein identitet og avviste han. Årsaka kan framleis liggje utanfor passordfeltet.

Kontroller domenefeltet først, deretter dei nøyaktige teikna i passordet. Eit passord med eit mellomrom, eit hermeteikn eller eit skalspesialteikn kan bli øydelagt før det når serveren; på Linux pppd rapporterer den same avvisinga som E=691 for ein verdi utan hermeteikn eller eit manglande domene. Skriv hemmelegheita på nytt i staden for å lime ho inn, og fjern all lagra påloggingsinformasjon som kan ha ein eldre verdi.

Greina folk overser, er ei stoppa hjelpeteneste. Når ein leverandørklient er avhengig av si eiga teneste for å sende påloggingsinformasjon til gatewayen, produserer ei deaktivert eller krasja teneste 691 sjølv når passordet er riktig. Kontroller tenestestatusen til leverandøren før du nullstiller kontoen, særleg etter ein omstart eller oppdatering.

For å skilje greinene testar du same brukarnamn mot ein annan fungerande VPN-profil eller ein RADIUS-testkonto. Viss det lukkast, er påloggingsinformasjonen i orden og den lokale klientbanen mistenkeleg. Viss det feilar på same måte, er problemet kontoen eller gatewaypolicyen.

Byt eitt lag per forsøk

Arbeid utanfrå og inn: tilgjenge og NAT-gjennomgang, deretter den førehandsdélte nøkkelen, deretter den lokale adapterstakken, deretter påloggingsinformasjonen, deretter serverpoolen og tenestene. Den rekkefølgja følgjer trinna koda skildrar og held kvart resultat henførbart til éi endring.

Før ein kort logg over koden før og etter kvart forsøk, klientbygginga og om serveren eller klienten vart endra. Ein sekvens som 789, deretter 720, deretter 691 er eit kart over framdrifta; same kode to gonger betyr at den siste endringa ikkje tok tak i det trinnet. Nyinstallering av Windows slettar dette kartet og rettar sjeldan ein feil som bur på gatewayen.

Når koden sluttar å endre seg, slutt å endre ting. Registrer gjeldande kode, serveradressa, autentiseringsmetoden og tidspunktet for forsøket, og samanlikn deretter den registreringa med ein klient som verkar. Skilnaden mellom dei to registreringane er vanlegvis mindre enn lista med rettingar folk prøver som standard.