Chyba L2TP/IPsec 789, 720 alebo 691: najprv opravte správnu fázu

Windows 11 hlási iné číslo pre každú fázu L2TP/IPsec a toto číslo označuje fázu, nehodnotí zlyhanie. 789 zlyhá skôr, než existuje spojenie PPP, 720 zlyhá počas zostavovania spojenia a 691 zlyhá po tom, čo spojenie stojí a prihlasovacie údaje sú odmietnuté. Užitočné rozhodnutie nie je, ktorá oprava je najpopulárnejšia, ale ktorú fázu kód dokazuje, že ste dosiahli. Prečítajte si to najprv, potom meňte jednu vrstvu na pokus, aby vám ďalší kód ešte niečo povedal.

Čítajte kód ako fázu, nie ako zoznam porúch

Pripojenie L2TP prechádza tromi hranicami v pevnom poradí. IKE vyjednáva bezpečnostné asociácie cez UDP 500, prechod NAT presúva túto prevádzku na UDP 4500 a až potom tunel L2TP nesie reláciu PPP, ktorá overuje používateľa a prideľuje adresu.

Práve toto poradie robí z meniaceho sa kódu chyby užitočný dôkaz. Prechod z 789 na 720 znamená, že IPsec už vyjednáva a zlyhanie sa presunulo na zostavenie spojenia. Prechod z 720 na 691 znamená, že spojenie sa zdvihlo a brána odmietla identitu. Ak použijete päť opráv naraz, stratíte tento signál a nemôžete povedať, ktorá zmena zabrala.

789: vyberte medzi cestou a miestnou politikou

Kód 789 je chyba spracovania počas počiatočného vyjednávania zabezpečenia. IPsec nikdy nevytvoril použiteľnú asociáciu, takže účet ešte nebol testovaný. Začnite cestou a zdieľaným kľúčom, nie účtom.

Overte, že UDP 500 a UDP 4500 dosiahnu server a že predzdieľaný kľúč sa zhoduje bajt po bajte, vrátane veľkosti písmen a medzier na konci. Ak je server za NAT, Windows môže potrebovať aj zdokumentovanú hodnotu registra. Použite 1, keď je server za NAT, a 2, keď sú za NAT obe strany, potom reštartujte, pretože agent zásad číta hodnotu pri štarte:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Ťažšia oprava adaptéra patrí do druhej vetvy. Odstránenie zariadenia Wi-Fi a mini portov WAN a následné skenovanie hardvéru je opodstatnené, keď je samotný lokálny zásobník IPsec poškodený a iné typy VPN zlyhávajú rovnako. Je to zbytočné úsilie, keď zlyháva len jeden server L2TP a všetky ostatné sieťové cesty fungujú.

720: vyberte medzi týmto adaptérom a fondom serverov

Chyba 720 hlási, že pripojenie k vzdialenému počítaču sa nepodarilo nadviazať, a objavuje sa po tom, čo IPsec uspel. Tunel sa dostal do bodu zdvihnutia rozhrania alebo získania adresy a potom sa zastavil. To z neho robí otázku miestneho adaptéra alebo kapacity servera.

Na rozhodnutie použite rádius dopadu. Zlyhanie jedného počítača s Windows ukazuje na chybný mini port WAN, zastavenú službu Remote Access alebo poškodený profil pripojenia. Zlyhanie viacerých klientov naraz ukazuje na server: vyčerpaný fond adries, zastavenú službu RRAS alebo fond, ktorý už nezodpovedá podsieti klienta. Opravte tú stranu, na ktorú vzor ukazuje, skôr než zmeníte tú druhú.

Vo vetve jedného klienta raz odstráňte mini porty WAN a preskentujte zmeny hardvéru, potom reštartujte a skúste to znova. Vo vetve servera skontrolujte fond a stav služby, nie klienta, pretože preinštalovanie funkčného adaptéra nemôže vytvoriť adresu, ktorú server nemá.

691: vyberte medzi prihlasovacím údajom a zastaveným pomocníkom

Kód 691 je odmietnutie overenia a je to kód, ktorý sa najčastejšie chybne číta ako nesprávne heslo. Tunel stojí, brána videla identitu a identitu odmietla. Príčina môže stále byť mimo poľa hesla.

Najprv skontrolujte pole domény, potom presné znaky v hesle. Heslo obsahujúce medzeru, úvodzovky alebo špeciálny znak shellu sa môže poškodiť skôr, než sa dostane na server; v Linuxe pppd hlási rovnaké odmietnutie ako E=691 pre hodnotu bez úvodzoviek alebo chýbajúcu doménu. Napíšte tajomstvo znova namiesto vkladania a vymažte všetky uložené prihlasovacie údaje, ktoré môžu obsahovať staršiu hodnotu.

Vetva, ktorú ľudia prehliadajú, je zastavená pomocná služba. Keď klientsky program dodavateľa závisí od vlastnej služby, ktorá odovzdáva prihlasovacie údaje bráne, deaktivovaná alebo spadnutá služba vytvára 691, aj keď je heslo správne. Skontrolujte stav služby dodavateľa skôr, než resetujete účet, najmä po reštarte alebo aktualizácii.

Aby ste vetvy oddelili, otestujte rovnaké používateľské meno na inom funkčnom profile VPN alebo na testovacom účte RADIUS. Ak to uspeje, prihlasovací údaj je v poriadku a miestna cesta klienta je podozrivá. Ak to zlyhá rovnako, problém je v účte alebo v politike brány.

Meňte jednu vrstvu na pokus

Pracujte zvonka dovnútra: dostupnosť a prechod NAT, potom predzdieľaný kľúč, potom lokálny zásobník adaptéra, potom prihlasovací údaj, potom fond serverov a služby. Toto poradie sleduje fázy, ktoré kódy opisujú, a udržiava každý výsledok priraditeľný jednej zmene.

Veďte krátky záznam kódu pred každým pokusom a po ňom, zostavenia klienta a toho, či bol zmenený server alebo klient. Postupnosť ako 789, potom 720, potom 691 je mapa pokroku; rovnaký kód dvakrát znamená, že posledná zmena túto fázu neriešila. Preinštalovanie Windows túto mapu vymaže a zriedka opraví zlyhanie, ktoré žije na bráne.

Keď sa kód prestane meniť, prestaňte meniť veci. Zaznamenajte aktuálny kód, adresu servera, metódu overenia a čas pokusu, potom porovnajte tento záznam s klientom, ktorý funguje. Rozdiel medzi dvoma záznamami je zvyčajne menší ako zoznam opráv, ktoré ľudia skúšajú predvolene.