Napaka L2TP/IPsec 789, 720 ali 691: najprej popravite pravo stopnjo

Windows 11 poroča drugačno številko za vsako stopnjo L2TP/IPsec, in ta številka označuje stopnjo, namesto da bi ocenila napako. 789 spodleti, preden obstaja povezava PPP, 720 spodleti med dvigovanjem povezave, 691 pa spodleti po tem, ko se povezava dvigne in so poverilnice zavrnjene. Koristna odločitev ni, katera poprava je najbolj priljubljena; temveč katero stopnjo koda dokazuje, da ste dosegli. Najprej preberite to, nato spremenite eno plast na poskus, da vam naslednja koda še vedno kaj pove.

Berite kodo kot stopnjo, ne kot seznam napak

Povezava L2TP prečka tri meje v stalnem vrstnem redu. IKE se pogaja o varnostnih združitvah prek UDP 500, prehod NAT premakne ta promet na UDP 4500, in šele nato tunel L2TP prenaša sejo PPP, ki overi uporabnika in dodeli naslov.

Prav ta vrstni red naredi spreminjajočo se kodo napake koristen dokaz. Prehod z 789 na 720 pomeni, da se IPsec zdaj pogaja in da se je napaka premaknila na vzpostavljanje povezave. Prehod z 720 na 691 pomeni, da se je povezava dvignila in da je prehod zavrnil identiteto. Če uporabite pet poprav hkrati, izgubite ta signal in ne morete povedati, katera sprememba je delovala.

789: izberite med potjo in lokalno politiko

Koda 789 je napaka pri obdelavi med začetnimi varnostnimi pogajanji. IPsec ni nikoli ustvaril uporabne združitve, zato račun še ni bil preizkušen. Začnite s potjo in skupnim ključem, ne z računom.

Potrdite, da UDP 500 in UDP 4500 dosežeta strežnik in da se vnaprej skupni ključ ujema bajt za bajtom, vključno z velikimi in malimi črkami ter presledki na koncu. Če je strežnik za NAT, lahko Windows potrebuje tudi dokumentirano vrednost registra. Uporabite 1, ko je strežnik za NAT, in 2, ko sta oba konca, nato znova zaženite, ker agent pravilnika prebere vrednost ob zagonu:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Težje popravilo adapterja spada v drugo vejo. Odstranitev naprave Wi-Fi in mini vrat WAN ter nato ponovno skeniranje strojne opreme je upravičeno, ko je sam lokalni sklad IPsec poškodovan in druge vrste VPN spodletijo na enak način. To je zapravljen trud, ko spodleti le en strežnik L2TP, medtem ko vse druge omrežne poti delujejo.

720: izberite med tem adapterjem in naborom strežnikov

Napaka 720 sporoča, da povezave z oddaljenim računalnikom ni bilo mogoče vzpostaviti, in se pojavi po uspehu IPsec. Tunel je dosegel točko dviga vmesnika ali pridobitve naslova, nato pa se ustavil. Zato je to vprašanje lokalnega adapterja ali zmogljivosti strežnika.

Za odločitev uporabite polmer vpliva. Okvara enega računalnika Windows kaže na okvarjena mini vrata WAN, ustavljeno storitev Remote Access ali poškodovan profil povezave. Okvara več odjemalcev hkrati kaže na strežnik: izčrpan nabor naslovov, ustavljeno storitev RRAS ali nabor, ki ne ustreza več podomrežju odjemalca. Najprej popravite tisto stran, na katero kaže vzorec, preden spremenite drugo.

V veji z enim odjemalcem enkrat odstranite mini vrata WAN in preglejte spremembe strojne opreme, nato znova zaženite in poskusite znova. V veji strežnika preverite nabor in stanje storitve namesto odjemalca, ker ponovna namestitev delujočega adapterja ne more ustvariti naslova, ki ga strežnik nima.

691: izberite med poverilnico in ustavljenim pomočnikom

Koda 691 je zavrnitev preverjanja pristnosti in je koda, ki se najpogosteje napačno bere kot napačno geslo. Tunel je dvignjen, prehod je videl identiteto in jo zavrnil. Vzrok je lahko še vedno zunaj polja za geslo.

Najprej preverite polje domene, nato natančne znake v geslu. Geslo s presledkom, narekovajem ali posebnim znakom lupine se lahko poškoduje, preden doseže strežnik; v Linuxu pppd sporoča enako zavrnitev kot E=691 za vrednost brez narekovajev ali manjkajočo domeno. Znova vnesite skrivnost, namesto da bi jo prilepili, in izbrišite vse shranjene poverilnice, ki lahko vsebujejo starejšo vrednost.

Veja, ki jo ljudje spregledajo, je ustavljena pomožna storitev. Ko je odjemalec ponudnika odvisen od lastne storitve za posredovanje poverilnic prehodu, onemogočena ali sesuta storitev ustvari 691, tudi ko je geslo pravilno. Preverite stanje storitve ponudnika, preden ponastavite račun, zlasti po ponovnem zagonu ali posodobitvi.

Za ločevanje vej preizkusite isto uporabniško ime na drugem delujočem profilu VPN ali preizkusnem računu RADIUS. Če uspe, je poverilnica v redu in lokalna pot odjemalca je sumljiva. Če spodleti na enak način, je težava v računu ali pravilniku prehoda.

Spremenite eno plast na poskus

Delajte od zunaj navznoter: dosegljivost in prehod NAT, nato vnaprej skupni ključ, nato lokalni sklad adapterja, nato poverilnica, nato nabor strežnikov in storitve. Ta vrstni red sledi stopnjam, ki jih opisujejo kode, in ohranja vsak rezultat pripisljiv eni spremembi.

Vodite kratek dnevnik kode pred vsakim poskusom in po njem, različice odjemalca in tega, ali je bil spremenjen strežnik ali odjemalec. Zaporedje, kot je 789, nato 720, nato 691, je zemljevid napredka; ista koda dvakrat pomeni, da zadnja sprememba ni obravnavala te stopnje. Ponovna namestitev sistema Windows izbriše ta zemljevid in redko odpravi napako, ki živi na prehodu.

Ko se koda preneha spreminjati, prenehajte spreminjati stvari. Zabeležite trenutno kodo, naslov strežnika, metodo preverjanja pristnosti in čas poskusa, nato primerjajte ta zapis z odjemalcem, ki deluje. Razlika med obema zapisoma je običajno manjša od seznama poprav, ki jih ljudje preizkušajo privzeto.