VPN v Windowsu se ne poveže? Ujemite kodo z dnevnikom dogodkov

V petek je delovalo. V ponedeljek isti odjemalec Windows odgovori s pogovornim oknom, da poskus povezave ni uspel, in stavek pod njim je tisti, ki ste ga že videli pri ducatu nepovezanih težav. To okno je konec verige, ne njen začetek. Windows skrije stopnjo, na kateri je poskus res umrl, in dva majhna dokaza jo poimenujeta: številčna koda rezultata in en dogodek RasClient iz iste minute. To je vrstni red, ki ga uporabljam — pritrdite poskus, preberite kodo, izvlecite dogodek in nato spremenite točno eno plast.

Besedilo okna je zadnji korak, ne vzrok

Stavek, ki ga berete, je izbran potem, ko se je poskus že odvil. "Povezavo je prekinil oddaljeni računalnik, preden je bila povezava vzpostavljena" se pojavi, ko strežnik odloži slušalko sredi pogajanj, ko IPsec ni uspel, preden je bilo vaše uporabniško ime sploh poslano, in ko je pravilnik tunel preprosto zavrnil. Trije različni lastniki, en stavek. Obravnavajte formulacijo kot razred simptomov in ne dovolite, da bi kar koli usmerjala, dokler se koda ne strinja z njo.

Kar lahko še pritrdite, je poskus sam. Zapišite ime povezave, vrsto tunela, shranjeno v profilu — PPTP, L2TP/IPsec, SSTP ali IKEv2 —, čas do sekunde in kodo. Če niste prepričani, kateri protokol je v resnici tekel, odprite %APPDATA%\Microsoft\Network\Connections\Pbk\rasphone.pbk in preberite vnos, namesto da bi zaupali spominu; profil, znova uporabljen za nov protokol, obdrži svoje staro prikazano ime.

Preberite število, preden preberete besede

Kode se delijo v tri stopnje, in stopnja šteje več kot natančna formulacija: izmenjava preverjanja pristnosti, do katere je prišlo in ki je bila zavrnjena, strežnik, ki nikoli ni odgovoril, ali pogajanja, ki so se sesula, potem ko se je povezava dvignila. 691 je prva vrsta — preverjanje poverilnic je potekalo in ni uspelo, bodisi zaradi napačnega gesla, zaklenjenega ali poteklega računa ali protokola preverjanja pristnosti, ki ga strežnik ne sprejema. 812 je tudi zavrnitev, vendar z veljavnimi poverilnicami: pravilnik na strežniku oddaljenega dostopa je odločil proti vam. Microsoft vzdržuje kanonični seznam kod napak za klicane in VPN povezave, in vredno je tam prebrati svojo številko, preden začnete iskati besedilo sporočila.

809 je nasprotni razred: nič se ni vrnilo. To je težava poti — TCP 443 filtriran za SSTP, GRE blokiran za PPTP, UDP 500 in 4500 ali ESP zavržen za prehod IPsec. Novo geslo tega ne more popraviti in novo potrdilo tudi ne. 720 pomeni, da se je povezava dvignila in PPP nikoli ni dokončal pogajanj, kar kaže na neusklajenost protokola ali strežnik, ki ni mogel dodeliti naslova. 789, ali 13801 pri IKEv2, je identiteta znotraj IPsec: potrdilo, katerega subjekt se ne ujema z imenom, ki ga kličete, nezaupanja vredna veriga ali vnaprej souporabljeni ključ, ki se med dvema koncema razlikuje.

Izvlecite dogodek RasClient za isto minuto

V Pregledovalniku dogodkov je Windows Logs > Application, filtrirano po viru RasClient, prvo mesto za pogled. Microsoftov opis napake 720 kaže na dogodek 20227 v tem dnevniku. Isti ponudnik oddaja druge identifikatorje za druge izide, zato preberite sporočilo in vanj vdelano kodo rezultata, namesto da bi ID obravnavali kot diagnozo; splošno okno plus 20227, ki nosi 720, je že veliko ožja zgodba.

Iz PowerShellu, brez klikanja skozi GUI:

Get-WinEvent -FilterHashtable @{
  LogName      = 'Application'
  ProviderName = 'RasClient'
  StartTime    = (Get-Date).AddMinutes(-15)
} | Format-List TimeCreated, Id, Message

Prazen rezultat je poučen. Običajno pomeni, da klicanje ni nikoli prišlo dovolj daleč, da bi RAS kaj zabeležil, ali da programska oprema, ki ni uspela, sploh ni izvorni odjemalec — odjemalci tretjih strani imajo svojo diagnostiko in pogosto ne zapišejo ničesar v dnevnik Application. Preverite dnevnik ponudnika, preden sklepate, da je beleženje dogodkov pokvarjeno.

Zgradite eno časovnico namesto kupa dogodkov

Zanke ponovnih poskusov ustvarjajo šum. Pet samodejnih ponovnih povezav pusti skupino dogodkov, in skušnjava je brati jih kot eno zaporedje z enim vzrokom. To je pet ločenih poskusov in le nekateri so dosegli strežnik. Vzemite okno dveh ali treh minut, eno ime povezave, in naštejte vsak dogodek z njegovo lastno kodo, preden kar koli razložite.

Nato vprašajte, kje se je poskus ustavil. Ko prehod ali zaledje za preverjanje pristnosti ne hrani nobenega zapisa za to časovno oznako, odjemalec ni nikoli prišel do njega, in gledate težavo z dosegljivostjo. Ko zaledje pokaže zahtevo in zavrnitev, je bila odločitev sprejeta tam, in velja razred poverilnic ali pravilnika. Primerjajte ure, preden primerjate čase: odjemalci poročajo krajevni čas, številni prehodi beležijo v UTC, in odstopanje bo povzročilo, da bo popolnoma koreliran par videti nepovezan.

Za ponovljiv posnetek pokličite iz ukazne vrstice in pustite, da izpiše rezultat:

rasdial "Office VPN"
rasdial "Office VPN" /disconnect

Konzola prikaže številko, ki jo GUI skriva za prijaznim besedilom, in dvakratni zagon vam pove, ali je koda stabilna ali občasna.

Kaj vam vsaka stopnja pravi, da spremenite

Poimenovanje stopnje je koristno le, če zoži nabor sprememb na eno plast:

• 691 — preverjanje pristnosti: metoda EAP, ki jo ponuja odjemalec, proti tisti, ki jo sprejema strežnik, stanje računa, potek gesla, dovoljenje za klicanje.
• 812 — pravilnik strežnika: pravilnik oddaljenega dostopa ali pravilo NPS, ki ustreza temu uporabniku in temu časovnemu oknu.
• 809 — dosegljivost: pravila požarnega zidu na poti, NAT in prehod protokola, vrata, ki jih izbrana vrsta tunela potrebuje.
• 720 — pogajanja PPP: neusklajenost protokola preverjanja pristnosti, dodelitev naslova, nastavitev PPP na strani strežnika.
• 789 / 13801 — identiteta IPsec: subjekt potrdila proti imenu, ki ga kličete, veriga zaupanja, vnaprej souporabljeni ključ.

Spremenite eno od tega, znova preizkusite isti profil in zapišite novo kodo. Drugačna koda po spremembi je napredek, ne protislovje: premaknili ste napako na poznejšo stopnjo, in tako je videti popravljanje večstopenjskega rokovanja. Česar ne bi smeli storiti, je spremeniti požarni zid, potrdilo in geslo v enem sedenju in nato zasluge pripisati tistemu, ki je prišlo zadnje.

Delite dokaze, ne okolja

Sporočila dogodkov so bogatejša, kot so videti. Nosijo ime povezave, račun, pogosto notranje ime ali naslov prehoda in včasih odtis potrdila. Original hranite tam, kamor spada, in za vsakogar drugega zgradite ločeno redigirano kopijo; prepisovanje časovnice po spominu izgubi prav tiste podrobnosti, ki jo delajo uporabno.

Predaja, ki bo obdelana, potrebuje pet polj: kodo, stopnjo, ki ji pripada, odjemalca in vrsto tunela, časovno oznako z njenim časovnim pasom in to, ali je prehod zahtevo sploh videl. Vse drugo je neobvezno. S temi petimi lahko naslednja oseba razlikuje spor o poverilnicah od spora o usmerjanju, ne da bi preiskavo ponovila.

Preden karkoli zaprete, znova predvajajte poskus na istem profilu in potrdite, kam koda zdaj pade. Uspeh to zaključi; drugačna napaka pomeni, da je prvotna stopnja popravljena in imate naslednjo v roki.