27850, 442 i 651: jeden stos, trzy pierwsze kontrole

Instalator zatrzymuje się na 27850, połączenie zostaje odrzucone z 442, a inny profil zwraca 651. Numery wyglądają jak trzy niezależne usterki, a zwykłą reakcją jest trzykrotna reinstalacja klienta. Tymczasem pochodzą z jednego podsystemu: wirtualnego adaptera i stosu filtrów wokół niego. Numer błędu mówi, która warstwa zawiodła, i to wyznacza pierwszą kontrolę. Reinstalacja przed przeczytaniem numeru zwykle odtwarza tę samą usterkę.

Dopasuj numer do warstwy

Każdy błąd powstaje w innym miejscu, więc pierwsza kontrola jest inna, nawet gdy widocznym objawem jest to samo odrzucone połączenie. Trzy rodziny obejmują każdy przypadek: instalator, adapter i port pod nim. Tabela poniżej stawia każdy numer obok kontroli, której wymaga.

Jeśli błąd pojawia się przed wyborem dowolnego profilu, należy do rodziny instalatora. Jeśli pojawia się, gdy klient próbuje podnieść adapter, należy do rodziny adaptera. Jeśli adapter jest widoczny, a port nigdy się nie otwiera, to rodzina miniporta. Zapisz numer, zanim cokolwiek zmienisz. Trzy naprawy dotyczą różnych części stosu, a zmiana dla niewłaściwej rodziny utrudnia odczytanie kolejnej próby.

Pełny stos filtrów albo pakiet zabezpieczeń blokujący sterownik

Instalacja klienta rejestruje mały składnik filtrujący w łańcuchu adaptera. Windows ma twardy limit liczby takich składników, a wartość domyślna zostawia niewiele miejsca, gdy obecne są antywirus, mostek wirtualizacji i sterownik przechwytujący. Wtedy instalacja kończy się błędem 27850, choć pakiet VPN jest w porządku. Instalator nie odróżnia pełnego stosu od uszkodzonego.

Odczytaj bieżącą wartość, zwiększ ją i uruchom ponownie przed kolejną próbą. Nowy filtr nie może się podłączyć, dopóki stos nie zostanie odbudowany:

reg query "HKLM\SYSTEM\CurrentControlSet\Control\Network" /v MaxNumFilters
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Network" /v MaxNumFilters /t REG_DWORD /d 14 /f

Druga przyczyna to pakiet zabezpieczeń, który blokuje instalację sterownika bez widocznego komunikatu. Jego samoobrona może uniemożliwić rejestrację filtru, więc instalator zgłasza ogólny błąd składnika. Sprawdź własny dziennik pakietu i, jeśli samoobrona jest przeszkodą, wyłącz ją tylko na czas instalacji i natychmiast przywróć. Jeśli wartość jest już zwiększona i żaden pakiet nie blokuje, poszukaj osieroconych sterowników filtrów z poprzedniego produktu VPN. Stary filtr bez pasującej usługi nadal zajmuje miejsce i może spowodować niepowodzenie nowej instalacji.

Adapter jest obecny i pozostaje wyłączony

Błąd 442 oznacza, że wirtualny adapter istnieje, ale klient nie potrafi go podnieść. Pierwsza kontrola to Menedżer urządzeń z pokazanymi ukrytymi urządzeniami: wyłączony adapter, adapter z symbolem ostrzeżenia i brakujący adapter wyglądają w kliencie tak samo, ale wymagają różnych napraw. Internet Connection Sharing często go trzyma. Jeśli usługa zajęła adapter, zatrzymaj usługę i spróbuj ponownie, zanim dotkniesz rejestru. Pozostała konfiguracja udostępniania może zająć go ponownie po restarcie, więc zanotuj, czy poprawka przetrwa restart.

Reinstalacja może pozostawić zniekształconą nazwę wyświetlaną, która czyni adapter niezarządzalnym. Wartość powinna być zwykłym tekstem, a nie nierozwiązanym tokenem instalatora:

Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\CVirtA" -Name DisplayName
Set-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\CVirtA" -Name DisplayName -Value "Cisco Systems VPN Adapter for 64-bit Windows"

Użyj nazwy wyświetlanej, której oczekuje twój klient, a następnie uruchom ponownie, aby adapter został ponownie wyliczony. Ustawienie wartości bez restartu zwykle zostawia stary stan i następne połączenie znów zwraca 442.

Port pod spodem nigdy się nie otwiera

Błąd 651 jest zgłaszany, gdy menedżer połączeń nie może otworzyć miniporta WAN. Adapter może wyglądać zdrowo w kliencie, podczas gdy port pod nim nigdy nie osiąga stanu uruchomionego. Wypisz miniporty i ich stan, zanim cokolwiek przeinstalujesz:

Get-PnpDevice -Class Net | Where-Object { $_.FriendlyName -like "*WAN Miniport*" } | Select-Object Status, FriendlyName

Miniport ze stanem błędu jest bezpośrednią wskazówką. Reinstalacja z Menedżera urządzeń odtwarza port, i dlatego ta naprawa działa, gdy reinstalacja klienta nie pomaga. Sterowniki firm trzecich powiązane z fizycznym adapterem to druga częsta przyczyna. Sterownik sieci mostkowej VirtualBox, pozostały sterownik TAP po OpenVPN lub filtr przechwytujący mogą zająć port pierwsze. Odznaczenie składnika podczas instalacji nie wystarcza, gdy sterownik jest już powiązany; trzeba go usunąć z właściwości adaptera albo odinstalować z magazynu sterowników.

Wyłączenie IPv6 na połączeniu VPN rozwiązało ten błąd w niektórych kompilacjach, ale traktuj to jako test, a nie trwałe rozwiązanie. Jeśli połączenie startuje tylko z wyłączonym IPv6, winny jest nadal miniport lub sterownik.

Zmień jedną warstwę i zachowaj dowody

Zapisz zmieniane wartości rejestru, zanotuj listę adapterów i filtrów przed i po, i uruchamiaj ponownie między próbami. Restart jest częścią naprawy dla każdej rodziny tutaj, ponieważ stos adaptera jest budowany przy starcie, a restart usługi go nie odbudowuje.

Reinstaluj klienta dopiero wtedy, gdy stary adapter, filtry i miniporty zniknęły. Instalacja nowego klienta na uszkodzonym stosie to droga, na której naprawialny 27850 zmienia się w maszynę z dwoma na wpół zarejestrowanymi adapterami i bez jasnego błędu. Zatrzymaj się i eskaluj, gdy ten sam błąd przetrwa kontrolę warstwy dwukrotnie. Wtedy użytecznym następnym krokiem jest czysty przegląd stosu sieciowego z dziennikiem instalatora od dostawcy, a nie kolejna próba tej samej reinstalacji.