27850, 442 и 651: один стек, три первые проверки
Все три ошибки приходят из стека виртуального адаптера. Сопоставьте номер с его уровнем, проверьте этот уровень и переустанавливайте только после очистки.
Установщик останавливается на 27850, подключение отклоняется с 442, а другой профиль возвращает 651. Номера выглядят как три независимые неисправности, и обычная реакция — трижды переустановить клиент. Но они происходят из одной подсистемы: виртуального адаптера и стека фильтров вокруг него. Номер ошибки говорит, какой уровень отказал, и именно это определяет первую проверку. Переустановка, не прочитав номер, обычно воспроизводит ту же неисправность.
Сопоставьте номер с уровнем
Каждая ошибка возникает в своей точке, поэтому первая проверка отличается, даже когда видимый симптом — то же отклонённое подключение. Три семейства охватывают все случаи: установщик, адаптер и порт под ним. Таблица ниже ставит каждый номер рядом с проверкой, которую он требует.
| Error | When it appears | First check | Usual cause |
|---|---|---|---|
| 27850 | During install | Filter count and security suite | Stack at the filter limit, or a suite blocking the driver |
| 442 | On connect | Adapter state and display name | Disabled adapter, ICS holding it, malformed CVirtA name |
| 651 | On connect | WAN miniport and third-party drivers | Miniport failed to start, bridging driver attached |
Если ошибка появляется до выбора любого профиля, она относится к семейству установщика. Если она появляется, когда клиент пытается поднять адаптер, это семейство адаптера. Если адаптер виден, а порт никогда не открывается, это семейство минипорта. Запишите номер, прежде чем что-то менять. Три исправления затрагивают разные части стека, и изменение не для того семейства делает следующую попытку труднее для чтения.
Переполненный стек фильтров или пакет безопасности, блокирующий драйвер
Установка клиента регистрирует небольшой компонент фильтра в цепочке адаптера. У Windows есть жёсткий предел того, сколько таких компонентов может подключиться, и значение по умолчанию оставляет мало места, когда присутствуют антивирус, мост виртуализации и драйвер перехвата. Тогда установка срывается с 27850, хотя пакет VPN в порядке. Установщик не отличает переполненный стек от повреждённого.
Прочитайте текущее значение, увеличьте его и перезагрузитесь перед новой попыткой. Новый фильтр не сможет подключиться, пока стек не будет перестроен:
reg query "HKLM\SYSTEM\CurrentControlSet\Control\Network" /v MaxNumFilters
reg add "HKLM\SYSTEM\CurrentControlSet\Control\Network" /v MaxNumFilters /t REG_DWORD /d 14 /fДругая причина — пакет безопасности, блокирующий установку драйвера без видимого запроса. Его самозащита может помешать регистрации фильтра, и установщик сообщает об общем отказе компонента. Посмотрите собственный журнал пакета и, если самозащита мешает, отключите её только на время установки и сразу восстановите. Если значение уже повышено и ни один пакет не блокирует, поищите осиротевшие драйверы фильтров от прежнего продукта VPN. Старый фильтр без подходящей службы всё ещё занимает место и может сорвать новую установку.
Адаптер есть и остаётся опущенным
Ошибка 442 означает, что виртуальный адаптер присутствует, но клиент не может его поднять. Первая проверка — диспетчер устройств с показанными скрытыми устройствами: отключённый адаптер, адаптер со знаком предупреждения и отсутствующий адаптер выглядят в клиенте одинаково, но требуют разных исправлений. Internet Connection Sharing часто его удерживает. Если служба заняла адаптер, остановите службу и повторите попытку, прежде чем трогать реестр. Оставшаяся конфигурация общего доступа может снова занять его после перезагрузки, поэтому отметьте, переживает ли исправление перезагрузку.
Переустановка может оставить искажённое отображаемое имя, из-за которого адаптер становится неуправляемым. Значение должно быть простым текстом, а не неразрешённым токеном установщика:
Get-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\CVirtA" -Name DisplayName
Set-ItemProperty "HKLM:\SYSTEM\CurrentControlSet\Services\CVirtA" -Name DisplayName -Value "Cisco Systems VPN Adapter for 64-bit Windows"Используйте отображаемое имя, которого ожидает ваш клиент, затем перезагрузитесь, чтобы адаптер был перечислен заново. Установка значения без перезагрузки обычно оставляет прежнее состояние, и следующее подключение снова даёт 442.
Порт под ним никогда не открывается
Ошибка 651 сообщается, когда диспетчер подключений не может открыть минипорт WAN. Адаптер может выглядеть здоровым в клиенте, а порт под ним так и не достигает запущенного состояния. Перечислите минипорты и их состояние, прежде чем что-либо переустанавливать:
Get-PnpDevice -Class Net | Where-Object { $_.FriendlyName -like "*WAN Miniport*" } | Select-Object Status, FriendlyNameМинипорт со статусом ошибки — прямая подсказка. Его переустановка из диспетчера устройств заново создаёт порт, и поэтому это исправление работает, когда переустановка клиента не помогает. Драйверы третьих сторон, привязанные к физическому адаптеру, — другая частая причина. Драйвер мостовой сети VirtualBox, оставшийся драйвер TAP от OpenVPN или фильтр перехвата могут занять порт первыми. Снятие флажка компонента во время установки недостаточно, когда драйвер уже привязан; его нужно удалить из свойств адаптера или деинсталлировать из хранилища драйверов.
Отключение IPv6 на подключении VPN решило эту ошибку в некоторых сборках, но относитесь к этому как к тесту, а не как к постоянному решению. Если подключение начинается только с отключённым IPv6, виноват по-прежнему минипорт или драйвер.
Измените один уровень и сохраните доказательства
Сохраните изменяемые значения реестра, запишите список адаптеров и фильтров до и после и перезагружайтесь между попытками. Перезагрузка — часть исправления для каждого семейства здесь, потому что стек адаптера строится при загрузке, а перезапуск службы его не перестраивает.
Переустанавливайте клиент только после того, как старый адаптер, фильтры и минипорты исчезли. Установка нового клиента поверх повреждённого стека — это путь, которым исправимая 27850 превращается в машину с двумя наполовину зарегистрированными адаптерами и без ясной ошибки. Остановитесь и эскалируйте, если одна и та же ошибка дважды переживает проверку уровня. В этот момент полезный следующий шаг — чистая ревизия сетевого стека вместе с журналом установщика от поставщика, а не ещё одна попытка той же переустановки.