Windows VPN koplar ikkje til? Match koden mot hendingsloggen

Det fungerte på fredag. På måndag svarar den same Windows-klienten med ein dialog som seier at tilkoplingsforsøket mislukkast, og setninga under er ei du allereie har sett for eit dusin urelaterte problem. Den dialogen er slutten på ei kjede, ikkje byrjinga. Windows skjuler trinnet der forsøket faktisk døydde, og to små bevis nemner det: den numeriske resultatkoden og éi RasClient-hending frå same minutt. Her er rekkjefølgja eg brukar — fest forsøket, les koden, hent hendinga, og endre deretter nøyaktig eitt lag.

Dialogteksten er det siste trinnet, ikkje årsaka

Setninga du les, vert vald etter at forsøket allereie er rulla ut. "Tilkoplinga vart avslutta av fjernmaskinen før tilkoplinga vart oppretta" viser seg når ein tenar legg på midt i forhandlinga, når IPsec feila før brukarnamnet ditt vart sendt i det heile, og når ein policy avviste tunnelen blankt. Tre ulike eigarar, éi setning. Handsame formuleringa som ein symptomatklasse og lat henne ikkje styre noko før koden er samd med henne.

Det du framleis kan feste, er sjølve forsøket. Skriv ned namnet på tilkoplinga, tunneltypen som er lagra i profilen — PPTP, L2TP/IPsec, SSTP eller IKEv2 —, tida til sekundet og koden. Viss du ikkje er sikker på kva protokoll som faktisk køyrde, opne %APPDATA%\Microsoft\Network\Connections\Pbk\rasphone.pbk og les oppføringa i staden for å stole på minnet; ein profil som vert gjenbrukt for ein ny protokoll held på det gamle visingsnamnet sitt.

Les talet før du les orda

Kodar fell i tre trinn, og trinnet tyder meir enn den nøyaktige formuleringa: ei autentiseringsutveksling som vart nådd og avvist, ein tenar som aldri svara, eller ei forhandling som kollapsa etter at lenkja kom opp. 691 er den første typen — kontrollen av påloggingsinformasjon køyrde og feila, anten på grunn av eit dårleg passord, ein låst eller utgått konto, eller ein autentiseringsprotokoll tenaren ikkje godtek. 812 er òg ei avvising, men med gyldig påloggingsinformasjon: ein policy på tenaren for ekstern tilgang bestemte mot deg. Microsoft vedlikeheld den kanoniske lista over feilkodar for oppringing og VPN-tilkoplingar, og det er verdt å lese nummeret ditt der før du søkjer i meldingsteksten.

809 er den motsette klassen: ingenting kom tilbake. Det er eit ruteproblem — TCP 443 filtrert for SSTP, GRE blokkert for PPTP, UDP 500 og 4500 eller ESP droppa for IPsec-gjennomgang. Eit nytt passord kan ikkje fikse det, og eit nytt sertifikat kan heller ikkje. 720 tyder at lenkja kom opp og at PPP aldri fullførte forhandlinga, noko som peikar på ein protokollukompatibilitet eller ein tenar som ikkje kunne tildele ei adresse. 789, eller 13801 på IKEv2, er identitet inne i IPsec: eit sertifikat der emnet ikkje svarar til namnet du ringjer, ei ikkje-klarert kjede, eller ein førehandsdel nøkkel som er ulik i dei to endane.

Hent RasClient-hendinga for det same minuttet

I Hendingsvising er Windows Logs > Application filtrert på kjelde RasClient det første staden å sjå. Microsoft si skildring av feil 720 peikar på hending 20227 i den loggen. Den same leverandøren sender ut andre identifikatorar for andre utfall, så les meldinga og den innebygde resultatkoden i staden for å handsame ID-en som diagnosen; ein generisk dialog pluss ein 20227 som ber 720 er allereie ei mykje smalare historie.

Frå PowerShell, utan å klikke gjennom GUI-en:

Get-WinEvent -FilterHashtable @{
  LogName      = 'Application'
  ProviderName = 'RasClient'
  StartTime    = (Get-Date).AddMinutes(-15)
} | Format-List TimeCreated, Id, Message

Eit tomt resultat er informativt. Det tyder vanlegvis at oppringinga aldri kom langt nok til at RAS logga noko, eller at programvara som feila ikkje er den opphavlege klienten i det heile — tredjepartsklientar held sin eigen diagnostikk og skriv ofte ingenting i Application-loggen. Sjekk loggen til leverandøren før du konkluderer med at hendingslogging er øydelagd.

Bygg éi tidslinje i staden for ein haug med hendingar

Gjentaksforsøk skaper støy. Fem automatiske gjenoppkoplingar etterlèt ein klynge hendingar, og freistinga er å lese dei som éin sekvens med éi årsak. Dei er fem separate forsøk, og berre nokre av dei nådde ein tenar. Ta eit vindauge på to eller tre minutt, eitt tilkoplingsnamn, og list opp kvar hending med sin eigen kode før du tolkar noko av det.

Spør så kvar forsøket stoppa. Når gatewayen eller autentiseringsbakenden ikkje har noka oppføring for det tidsstempelet, nådde klienten aldri fram, og du ser på eit tilgjengeproblem. Når bakenden viser ei førespurnad og ei avvising, vart avgjerda teken der, og klassen påloggingsinformasjon eller policy gjeld. Samanlikn klokker før du samanliknar tider: klientar rapporterer lokal tid, mange gatewayar loggar i UTC, og ei forskyving vil få eit perfekt korrelert par til å sjå urelatert ut.

For ei repeterbar registrering, ring opp frå kommandolinja og lat ho skrive ut resultatet:

rasdial "Office VPN"
rasdial "Office VPN" /disconnect

Konsollen viser nummeret som GUI-en skjuler bak venleg tekst, og å køyre det to gonger fortel deg om koden er stabil eller periodisk.

Kva kvart trinn seier du skal endre

Det er berre nyttig å namngje trinnet viss det krympar endringssettet til eitt lag:

• 691 — autentisering: EAP-metoden klienten tilbyr mot den tenaren godtek, kontostatus, passordutløp, løyve til innringing.
• 812 — tenarpolicy: policyen for ekstern tilgang eller NPS-regelen som passar denne brukaren og dette tidsvindauget.
• 809 — tilgjenge: brannmurreglar på ruta, NAT og protokollgjennomgang, porten den valde tunneltypen treng.
• 720 — PPP-forhandling: usemje i autentiseringsprotokoll, adressetildeling, ei PPP-innstilling på tenarsida.
• 789 / 13801 — IPsec-identitet: sertifikatemne mot namnet du ringjer, tillitskjede, førehandsdel nøkkel.

Endre ein av dei, test den same profilen på nytt, og skriv ned den nye koden. Ein annan kode etter ei endring er framgang snarare enn ein sjølvmotseiing: du flytta feilen til eit seinare trinn, og det er slik reparasjon av eit fleirtrinns handtrykk ser ut. Det du ikkje bør gjere, er å endre brannmuren, sertifikatet og passordet i éi økt og deretter gi æra til den som kom sist.

Del bevisa, ikkje miljøet

Hendingsmeldingar er rikare enn dei ser ut. Dei ber tilkoplingsnamnet, kontoen, ofte det interne namnet eller adressa til gatewayen, og nokre gonger eit sertifikatfingertrykk. Hald på originalen der han høyrer heime, og bygg ein eigen redigert kopi for alle andre; å skrive tidslinja på nytt frå minnet mistar nettopp detaljane som gjer ho nyttig.

Ei overlevering som vert jobba med treng fem felt: koden, trinnet han høyrer til, klienten og tunneltypen, tidsstempelet med tidssona si, og om gatewayen såg førespurnaden i det heile. Alt anna er valfritt. Med dei fem kan neste person skilje ein diskusjon om påloggingsinformasjon frå ein rutediskusjon utan å gjenta undersøkinga.

Før du lukkar noko, spel av forsøket på den same profilen og stadfest kvar koden landar no. Ein suksess avsluttar det; ein annan feil tyder at det opphavlege trinnet er retta og du har det neste i handa.