Windows VPN se ne povezuje? Uskladite kod s dnevnikom događaja

U petak je radilo. U ponedjeljak isti Windows klijent odgovara dijalogom koji kaže da pokušaj povezivanja nije uspio, a rečenica ispod njega je ona koju ste već vidjeli za desetak nepovezanih problema. Taj dijalog je kraj lanca, a ne njegov početak. Windows skriva fazu u kojoj je pokušaj zapravo umro, a dva mala dokaza je imenuju: brojčani kod rezultata i jedan RasClient događaj iz te iste minute. Evo reda koji koristim — fiksirajte pokušaj, pročitajte kod, izvucite događaj, pa promijenite tačno jedan sloj.

Tekst dijaloga je posljednji korak, a ne uzrok

Rečenica koju čitate bira se nakon što se pokušaj već razmotao. "Veza je prekinuta od strane udaljenog računara prije nego što je veza uspostavljena" pojavljuje se kada server prekine vezu usred pregovora, kada IPsec ne uspije prije nego što je vaše korisničko ime uopće poslano, i kada politika odbije tunel odmah. Tri različita vlasnika, jedna rečenica. Tretirajte formulaciju kao klasu simptoma i ne dopustite joj da bilo šta usmjerava dok se kod s njom ne složi.

Ono što još možete fiksirati je sam pokušaj. Zapišite naziv veze, tip tunela sačuvan u profilu — PPTP, L2TP/IPsec, SSTP ili IKEv2 — vrijeme do sekunde i kod. Ako niste sigurni koji je protokol stvarno radio, otvorite %APPDATA%\Microsoft\Network\Connections\Pbk\rasphone.pbk i pročitajte unos umjesto da vjerujete pamćenju; profil ponovo korišten za novi protokol zadržava svoje staro prikazno ime.

Pročitajte broj prije nego što pročitate riječi

Kodovi padaju u tri faze, i faza je važnija od tačne formulacije: razmjena autentifikacije do koje se došlo i koja je odbijena, server koji nikada nije odgovorio, ili pregovori koji su se srušili nakon što je veza uspostavljena. 691 je prva vrsta — provjera akreditiva je protekla i nije uspjela, bilo zbog loše lozinke, zaključanog ili isteklog računa, ili protokola autentifikacije koji server ne prihvaća. 812 je također odbijanje, ali s važećim akreditivima: politika na serveru udaljenog pristupa odlučila je protiv vas. Microsoft održava kanonski lista kodova grešaka za dial-up i VPN vezu, i vrijedi pročitati svoj broj tamo prije nego što tražite tekst poruke.

809 je suprotna klasa: ništa se nije vratilo. To je problem puta — TCP 443 filtriran za SSTP, GRE blokiran za PPTP, UDP 500 i 4500 ili ESP odbačen za IPsec prolaz. Nova lozinka to ne može popraviti, a ni svježi certifikat. 720 znači da se veza uspostavila i da PPP nikada nije završio pregovore, što ukazuje na neusklađenost protokola ili server koji nije mogao dodijeliti adresu. 789, ili 13801 na IKEv2, je identitet unutar IPsec-a: certifikat čiji se subjekt ne podudara s imenom koje birate, nepouzdan lanac, ili unaprijed dijeljeni ključ koji se razlikuje između dva kraja.

Izvucite RasClient događaj za tu istu minutu

U Pregledaču događaja Windows Logs > Application filtriran po izvoru RasClient je prvo mjesto za pogledati. Microsoftov opis greške 720 upućuje na događaj 20227 u tom dnevniku. Isti davatelj emitira druge identifikatore za druge ishode, zato čitajte poruku i ugrađeni kod rezultata umjesto da ID tretirate kao dijagnozu; generički dijalog plus 20227 koji nosi 720 već je mnogo uža priča.

Iz PowerShell-a, bez klikanja kroz GUI:

Get-WinEvent -FilterHashtable @{
  LogName      = 'Application'
  ProviderName = 'RasClient'
  StartTime    = (Get-Date).AddMinutes(-15)
} | Format-List TimeCreated, Id, Message

Prazan rezultat je informativan. Obično znači da biranje nikada nije otišlo dovoljno daleko da bi RAS išta zabilježio, ili da softver koji nije uspio uopće nije izvorni klijent — klijenti trećih strana drže vlastitu dijagnostiku i često ne pišu ništa u Application dnevnik. Provjerite dnevnik dobavljača prije nego zaključite da je evidentiranje događaja pokvareno.

Izgradite jednu vremensku liniju umjesto hrpe događaja

Petlje ponovnih pokušaja stvaraju šum. Pet automatskih ponovnih povezivanja ostavlja grupu događaja, a iskušenje je čitati ih kao jedan niz s jednim uzrokom. To je pet odvojenih pokušaja, i samo su neki od njih stigli do servera. Uzmite prozor od dvije ili tri minute, jedan naziv veze, i popišite svaki događaj s njegovim vlastitim kodom prije nego bilo šta protumačite.

Zatim pitajte gdje se pokušaj zaustavio. Kada gateway ili pozadina za autentifikaciju ne drži nikakav zapis za taj vremenski pečat, klijent ga nikada nije dosegao, i gledate problem dostupnosti. Kada pozadina pokazuje zahtjev i odbijanje, odluka je donesena tamo, i primjenjuje se klasa akreditiva ili politike. Usporedite satove prije nego što usporedite vremena: klijenti prijavljuju lokalno vrijeme, mnogi gatewayi bilježe UTC, a pomak će učiniti savršeno koreliran par nepovezanim.

Za ponovljivo snimanje, birajte iz komandne linije i pustite je da ispiše rezultat:

rasdial "Office VPN"
rasdial "Office VPN" /disconnect

Konzola pokazuje broj koji GUI skriva iza prijateljskog teksta, a pokretanje dvaput govori vam je li kod stabilan ili povremen.

Šta vam svaka faza govori da promijenite

Imenovanje faze korisno je samo ako skup promjena svodi na jedan sloj:

• 691 — autentifikacija: EAP metoda koju klijent nudi nasuprot onoj koju server prihvaća, stanje računa, istek lozinke, dozvola za dial-in.
• 812 — politika servera: politika udaljenog pristupa ili NPS pravilo koje odgovara ovom korisniku i ovom vremenskom prozoru.
• 809 — dostupnost: firewall pravila na putu, NAT i prolaz protokola, port koji odabrani tip tunela traži.
• 720 — PPP pregovori: neusklađenost protokola autentifikacije, dodjela adrese, PPP postavka na strani servera.
• 789 / 13801 — IPsec identitet: subjekt certifikata nasuprot imenu koje birate, lanac povjerenja, unaprijed dijeljeni ključ.

Promijenite jedno od toga, ponovo testirajte isti profil i zapišite novi kod. Drugačiji kod nakon promjene je napredak, a ne proturječnost: premjestili ste kvar na kasniju fazu, i tako izgleda popravljanje višefaznog rukovanja. Ono što ne biste trebali raditi je promijeniti firewall, certifikat i lozinku u jednom sjedenju i zatim pripisati zaslugu onome što je došlo posljednje.

Dijelite dokaze, ne okruženje

Poruke događaja bogatije su nego što izgledaju. Nose naziv veze, račun, često interno ime ili adresu gatewaya, a ponekad i otisak certifikata. Držite original gdje mu je mjesto i napravite zasebnu redigovanu kopiju za bilo koga drugog; ponovno tipkanje vremenske linije po pamćenju gubi upravo detalje koji je čine korisnom.

Primopredaja koja će biti obrađena treba pet polja: kod, fazu kojoj pripada, klijent i tip tunela, vremenski pečat s njegovom vremenskom zonom, i je li gateway uopće vidio zahtjev. Sve ostalo je opcionalno. S tih pet sljedeća osoba može razlikovati raspravu o akreditivima od rasprave o rutiranju bez ponavljanja istrage.

Prije nego bilo šta zatvorite, ponovite pokušaj na istom profilu i potvrdite gdje kod sada pada. Uspjeh to završava; drugačiji kvar znači da je izvorna faza popravljena i sljedeća je u vašim rukama.