Gabim L2TP/IPsec 789, 720 ose 691: rregulloni fillimisht fazën e duhur

Windows 11 raporton një numër të ndryshëm për çdo fazë të L2TP/IPsec, dhe ai numër shënon një fazë në vend që të vlerësojë dështimin. 789 dështon përpara se të ekzistojë lidhja PPP, 720 dështon gjatë ngritjes së lidhjes, dhe 691 dështon pasi lidhja është ngritur dhe kredencialet refuzohen. Vendimi i dobishëm nuk është cila rregullim është më popullor; është cila fazë provon kodi se keni arritur. Lexojeni atë fillimisht, pastaj ndryshoni një shtresë për çdo përpjekje, që kodi tjetër t'ju thotë ende diçka.

Lexojeni kodin si fazë, jo si listë defektesh

Një lidhje L2TP kalon tre kufij në një rend fiks. IKE negocion shoqatat e sigurisë përmes UDP 500, kalimi NAT e lëviz atë trafik në UDP 4500, dhe vetëm atëherë tuneli L2TP mbart një sesion PPP që vërteton përdoruesin dhe cakton një adresë.

Ky rend është arsyeja pse një kod gabimi që ndryshon është provë e dobishme. Kalimi nga 789 në 720 do të thotë që IPsec tani negocion dhe dështimi ka kaluar në vendosjen e lidhjes. Kalimi nga 720 në 691 do të thotë që lidhja u ngrit dhe porta refuzoi identitetin. Nëse aplikoni pesë rregullime njëherësh, humbisni atë sinjal dhe nuk mund të thoni cili ndryshim funksionoi.

789: zgjidhni midis rrugës dhe politikës lokale

Kodi 789 është një gabim përpunimi gjatë negocimit fillestar të sigurisë. IPsec nuk prodhoi kurrë një shoqatë të përdorshme, prandaj llogaria nuk është testuar ende. Filloni me rrugën dhe çelësin e përbashkët, jo me llogarinë.

Konfirmoni që UDP 500 dhe UDP 4500 arrijnë serverin dhe që çelësi i para-shpërndarë përputhet bajt për bajt, përfshirë shkronjat e mëdha e të vogla dhe hapësirat në fund. Nëse serveri është pas NAT, Windows mund të ketë nevojë edhe për vlerën e dokumentuar të regjistrit. Përdorni 1 kur serveri është pas NAT dhe 2 kur të dy skajet janë, pastaj rinisni, sepse agjenti i politikave e lexon vlerën në nisje:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Rregullimi më i rëndë i përshtatësit i takon degës tjetër. Heqja e pajisjes Wi-Fi dhe miniporteve WAN dhe pastaj ri-skanimi për harduer justifikohet kur vetë pirgu lokal IPsec është dëmtuar dhe llojet e tjera të VPN dështojnë në të njëjtën mënyrë. Është përpjekje e humbur kur dështon vetëm një server L2TP ndërsa të gjitha rrugët e tjera të rrjetit funksionojnë.

720: zgjidhni midis këtij përshtatësi dhe grupit të serverëve

Gabimi 720 raporton se lidhja me kompjuterin në distancë nuk mund të vendosej, dhe shfaqet pasi IPsec ka pasur sukses. Tuneli arriti pikën e ngritjes së një ndërfaqeje ose marrjes së një adrese, pastaj u ndal. Kjo e bën atë një çështje përshtatësi lokal ose një çështje kapaciteti serveri.

Përdorni rrezen e ndikimit për të vendosur. Dështimi i një makine Windows tregon një miniport WAN me defekt, një shërbim Remote Access të ndalur ose një profil lidhjeje të korruptuar. Dështimi i disa klientëve në të njëjtën kohë tregon serverin: një grup adresash i shteruar, një shërbim RRAS i ndalur ose një grup që nuk përputhet më me nënrrjetin e klientit. Rregulloni anën që tregon modeli përpara se të ndryshoni tjetrën.

Në degën me një klient, hiqni miniportet WAN një herë dhe skanoni për ndryshime hardueri, pastaj rinisni dhe provoni përsëri. Në degën e serverit, kontrolloni grupin dhe gjendjen e shërbimit në vend të klientit, sepse riinstalimi i një përshtatësi që funksionon nuk mund të krijojë një adresë që serveri nuk e ka.

691: zgjidhni midis kredencialit dhe një ndihmësi të ndalur

Kodi 691 është një refuzim vërtetimi, dhe është kodi që më shpesh lexohet gabimisht si fjalëkalim i gabuar. Tuneli është ngritur, porta pa një identitet dhe e refuzoi atë. Shkaku mund të jetë ende jashtë fushës së fjalëkalimit.

Kontrolloni fillimisht fushën e domenit, pastaj karakteret e sakta në fjalëkalim. Një fjalëkalim që përmban një hapësirë, thonjëza ose një karakter special të shell-it mund të dëmtohet përpara se të arrijë serverin; në Linux, pppd raporton të njëjtin refuzim si E=691 për një vlerë pa thonjëza ose një domen që mungon. Shkruajeni përsëri sekretin në vend që ta ngjitni, dhe fshini çdo kredencial të ruajtur që mund të mbajë një vlerë më të vjetër.

Dega që njerëzit nuk e vënë re është një shërbim ndihmës i ndalur. Kur klienti i një furnizuesi varet nga shërbimi i vet për të kaluar kredencialet te porta, një shërbim i çaktivizuar ose i rrëzuar prodhon 691 edhe kur fjalëkalimi është i saktë. Kontrolloni gjendjen e shërbimit të furnizuesit përpara se të rivendosni llogarinë, sidomos pas një rinisjeje ose përditësimi.

Për t'i ndarë degët, provoni të njëjtin emër përdoruesi në një profil tjetër funksional VPN ose në një llogari testuese RADIUS. Nëse kjo funksionon, kredenciali është në rregull dhe rruga lokale e klientit është e dyshimtë. Nëse dështon në të njëjtën mënyrë, problemi është llogaria ose politika e portës.

Ndryshoni një shtresë për çdo përpjekje

Punoni nga jashtë nga brenda: arritshmëria dhe kalimi NAT, pastaj çelësi i para-shpërndarë, pastaj pirgu lokal i përshtatësit, pastaj kredenciali, pastaj grupi i serverëve dhe shërbimet. Ky rend ndjek fazat që përshkruajnë kodet dhe mban çdo rezultat të atribuueshëm te një ndryshim i vetëm.

Mbani një regjistër të shkurtër të kodit përpara dhe pas çdo përpjekjeje, të ndërtimit të klientit dhe të faktit nëse u ndryshua serveri apo klienti. Një sekuencë si 789, pastaj 720, pastaj 691 është një hartë e përparimit; i njëjti kod dy herë do të thotë që ndryshimi i fundit nuk e trajtoi atë fazë. Riinstalimi i Windows fshin këtë hartë dhe rrallë rregullon një dështim që jeton në portë.

Kur kodi ndalon së ndryshuari, ndaloni së ndryshuari gjërat. Regjistroni kodin aktual, adresën e serverit, metodën e vërtetimit dhe kohën e përpjekjes, pastaj krahasoni atë regjistrim me një klient që funksionon. Diferenca midis dy regjistrimeve është zakonisht më e vogël se lista e rregullimeve që njerëzit provojnë si parazgjedhje.