Coduri de eroare VPN în Windows: ce etapă a eșuat și ce să înregistrezi

Deschide dialogul VPN din Windows după o eroare și îți va da un număr și o propoziție, iar propoziția este de obicei jumătatea mai puțin utilă. Numărul arată care etapă a conexiunii a eșuat, iar etapa decide ce jurnal, ce setare și ce echipă trebuie urmărite în continuare. Parcurgerea etapelor în ordine durează aproximativ zece minute și împiedică secvența cunoscută: reinstalarea adaptoarelor, schimbarea protocoalelor și resetarea stivei pentru a repara un cont căruia nu i s-a permis niciodată să formeze numărul.

Citește numărul ca pe o etapă

O conexiune nativă trece prin patru repere. Ajunge la server și stabilește o legătură, negociază securitatea, autentifică utilizatorul și aplică adresarea și rutarea. O eroare în fiecare dintre ele lasă dovezi diferite, iar un cod care aparține unei etape nu spune nimic util despre celelalte.

Greșeala de evitat este să tratezi codul ca pe o gravitate. O eroare de legătură și o eroare de autorizare se citesc ambele ca "nu s-a putut conecta" și nu au nimic altceva în comun. Gravitatea spune cât de urgent este ceva; etapa spune ce trebuie deschis.

Etapa unu: legătura și încercarea de formare

829 înseamnă că legătura de bază a căzut. Nu spune dacă partenerul îndepărtat a încetat să răspundă, dacă un echipament intermediar a omorât sesiunea sau dacă o politică de pe client a închis-o. Un cod de finalizare a formării precum 703 este chiar mai devreme: încercarea nu a ajuns niciodată să aibă o legătură, ceea ce indică de obicei profilul, starea serviciului sau o politică locală.

Get-VpnConnection -Name 'Corp' | Select-Object Name,ServerAddress,TunnelType,AuthenticationMethod,ConnectionStatus
Test-NetConnection -ComputerName vpn.example.net -Port 443
Get-WinEvent -LogName Application -MaxEvents 200 | Where-Object ProviderName -match 'RasClient' | Select-Object -First 15 TimeCreated,Id,Message

Interogarea de evenimente este partea pe care oamenii o sar. O înregistrare pe partea clientului cu marcă de timp și nume de interfață valorează mai mult decât dialogul, pentru că spune dacă încercarea a părăsit măcar mașina. Nicio înregistrare și niciun răspuns de la ascultător înseamnă o problemă de accesibilitate, iar nicio modificare pe client nu schimbă asta.

Dacă același profil funcționează în altă rețea, oprește-te aici. Codul descrie o condiție a căii și nu o eroare de configurare, iar următoarea comparație utilă sunt cele două capturi și nu o altă reinstalare.

Etapa doi: PPP și legarea miniportului

720 se află între legătură și utilizator. Tunelul a urcat, iar apoi stratul PPP nu a putut negocia o adresă sau un protocol de control, ceea ce este adesea o problemă de legare pe client și nu o acreditare respinsă. Această distincție este întreaga valoare a codului: spune că acreditarea nu a fost niciodată atinsă, deci contul nu este suspectul.

Get-NetAdapter -IncludeHidden | Where-Object InterfaceDescription -match 'WAN Miniport' | Select-Object Name,Status,ifIndex
Get-NetAdapterBinding | Where-Object ComponentID -match 'ms_pptp|ms_l2tp|ms_sstp|ms_agile' | Select-Object Name,ComponentID,Enabled

Citirea acestor două ieșiri este mai informativă decât resetarea oricărui lucru. Un miniport prezent dar nepornit, sau o legare de protocol dezactivată de alt software, produc exact eșecul acestei etape. Ambele se pot repara fără a atinge restul stivei. O resetare completă, dimpotrivă, elimină adresarea și starea de filtrare care nu aveau nicio legătură cu defecțiunea.

Etapa trei: identitate și autorizare

691 înseamnă că acreditările au fost respinse. 649 înseamnă că contul nu are permisiunea de a forma numărul, iar 812 înseamnă că o politică de acces la distanță a refuzat conexiunea. Acestea sunt decizii, nu defecțiuni de transport, iar clientul le poate doar raporta.

Dovezile sunt de cealaltă parte. Cere operatorului gateway-ului încercarea de la acea marcă de timp și politica ce s-a potrivit; întreabă proprietarul directorului dacă contul are permisiunea de formare și dacă este în grupul cerut de politică. Schimbarea tipului de tunel sau reinstalarea clientului nu pot modifica o decizie luată despre o identitate.

Un obicei util în această etapă este să scrii în tichet șirul exact al contului, inclusiv orice prefix de domeniu. Un număr surprinzător de cazuri 691 sunt acreditări salvate pentru domeniul greșit, iar asta se vede în șirul contului și nu în setările protocolului.

Etapa patru: conectat, și nimic nu funcționează

O conexiune se poate finaliza și totuși poate fi inutilă. Are o adresă, clientul raportează succes, iar fiecare cerere a aplicației expiră. Nimic din dialog nu reflectă asta și nu există niciun cod de căutat. În acel moment dialogul s-a terminat, iar dovezile utile sunt altundeva.

Get-NetRoute -DestinationPrefix 10.24.0.0/16 | Select-Object DestinationPrefix,NextHop,InterfaceAlias
Resolve-DnsName files.corp.example.internal
Test-NetConnection -ComputerName 10.24.6.15 -Port 445

Dacă ruta lipsește, serverul nu a împins-o sau clientul a aruncat-o. Dacă ruta există și numele eșuează, problema este rezolvarea. Dacă ambele funcționează și aplicația tot eșuează, ai trecut de tunel și ești în configurația aplicației înseși.

Ține modificările la un singur strat pe test. Fiecare editare făcută înainte de următoarea încercare devine parte din contextul următorului cod, iar un cod care descrie ultima ta editare este mai rău decât niciun cod.

O încercare, o modificare, o înregistrare

Indiferent de etapă, înregistrarea trebuie să conțină codul, mesajul, numele profilului, marca de timp și rețeaua în care erai. Cinci câmpuri, și fiecare dintre ele este deja în fața ta în dialog sau în jurnalul clientului. Acel set este destul de mic pentru a fi lipit într-un tichet și destul de specific pentru ca altcineva să îl reproducă.

Apoi pune acea marcă de timp lângă înregistrarea de cealaltă parte. Tabelul de lângă partea de sus a paginii spune cărei etape îi aparține fiecare nepotrivire. Fără a doua înregistrare codul doar îngustează căutarea; cu ea, etapa este decisă. Comparația este cea care transformă un număr în diagnostic și nu în presupunere.

Acest obicei acoperă aproape orice defecțiune nativă a VPN-ului în Windows, și nicio ramură nu cere reinstalarea a ceva. Dialogul îți spunea mereu care este cea pe care o ai; munca constă în a refuza să le tratezi pe toate ca aceeași problemă.