Грешка L2TP/IPsec 789, 720 или 691: прво поправите праву фазу

Windows 11 пријављује различит број за сваку фазу L2TP/IPsec, и тај број означава фазу уместо да оцењује квар. 789 не успева пре него што PPP веза постоји, 720 не успева док се веза подиже, а 691 не успева након што се веза подигне и акредитиви буду одбијени. Корисна одлука није која је поправка најпопуларнија; већ која фаза код доказује да сте достигли. Прво прочитајте то, затим мењајте један слој по покушају да би вам следећи код још нешто рекао.

Читајте код као фазу, не као списак кварова

L2TP веза прелази три границе у фиксном редоследу. IKE преговара о безбедносним асоцијацијама преко UDP 500, NAT пролаз премешта тај саобраћај на UDP 4500, и тек тада L2TP тунел носи PPP сесију која аутентификује корисника и додељује адресу.

Управо тај редослед чини променљиви код грешке корисним доказом. Прелазак са 789 на 720 значи да IPsec сада преговара и да се квар преместио на успостављање везе. Прелазак са 720 на 691 значи да се веза подигла и да је пролаз одбио идентитет. Ако примените пет поправки одједном, губите тај сигнал и не можете да кажете која је промена успела.

789: изаберите између путање и локалне политике

Код 789 је грешка обраде током почетних безбедносних преговора. IPsec никада није створио употребљиву асоцијацију, па налог још није тестиран. Почните са путањом и заједничким кључем, не са налогом.

Потврдите да UDP 500 и UDP 4500 стижу до сервера и да се унапред подељени кључ подудара бајт по бајт, укључујући велика и мала слова и размаке на крају. Ако је сервер иза NAT-а, Windows може да затражи и документовану вредност регистра. Користите 1 када је сервер иза NAT-а и 2 када су оба краја, затим поново покрените јер агент политике чита вредност при покретању:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Тежа поправка адаптера припада другој грани. Уклањање Wi-Fi уређаја и WAN мини портова и затим поновно скенирање хардвера оправдано је када је сам локални IPsec стек оштећен и друге врсте VPN-а не успевају на исти начин. То је узалудан труд када не успева само један L2TP сервер док сви остали мрежни путеви раде.

720: изаберите између овог адаптера и групе сервера

Грешка 720 пријављује да веза са удаљеним рачунаром није могла бити успостављена, и појављује се након што IPsec успе. Тунел је стигао до тачке подизања интерфејса или добијања адресе, а затим се зауставио. То га чини питањем локалног адаптера или питањем капацитета сервера.

Користите радијус утицаја за одлуку. Неуспех једног Windows рачунара указује на неисправан WAN мини порт, заустављену услугу Remote Access или оштећен профил везе. Неуспех више клијената истовремено указује на сервер: исцрпљен скуп адреса, заустављену услугу RRAS или скуп који више не одговара подмрежи клијента. Поправите страну на коју указује образац пре него што промените другу.

У грани са једним клијентом уклоните WAN мини портове једном и скенирајте промене хардвера, затим поново покрените и покушајте поново. У грани сервера проверите скуп и стање услуге уместо клијента, јер поновна инсталација исправног адаптера не може да створи адресу коју сервер нема.

691: изаберите између акредитива и заустављеног помоћника

Код 691 је одбијање аутентификације, и то је код који се најчешће погрешно чита као погрешна лозинка. Тунел је подигнут, пролаз је видео идентитет и одбио га. Узрок ипак може бити изван поља за лозинку.

Прво проверите поље домена, затим тачне знакове у лозинки. Лозинка која садржи размак, наводник или специјални знак љуске може се искварити пре него што стигне до сервера; на Linux-у, pppd пријављује исто одбијање као E=691 за вредност без наводника или домен који недостаје. Поново упишите тајну уместо да је залепите и обришите све сачуване акредитиве који могу да садрже старију вредност.

Грана коју људи пропуштају је заустављена помоћна услуга. Када клијент добављача зависи од сопствене услуге да пренесе акредитиве пролазу, онемогућена или срушена услуга производи 691 чак и када је лозинка исправна. Проверите стање услуге добављача пре него што ресетујете налог, посебно након поновног покретања или ажурирања.

Да бисте раздвојили гране, тестирајте исто корисничко име на другом исправном VPN профилу или RADIUS тест налогу. Ако то успе, акредитив је исправан и локална путања клијента је сумњива. Ако не успе на исти начин, проблем је налог или политика пролаза.

Мењајте један слој по покушају

Радите споља ка унутра: доступност и NAT пролаз, затим унапред подељени кључ, затим локални стек адаптера, затим акредитив, затим група сервера и услуге. Тај редослед прати фазе које кодови описују и држи сваки резултат приписивим једној промени.

Водите кратак дневник кода пре и после сваког покушаја, верзије клијента и тога да ли је промењен сервер или клијент. Низ као 789, затим 720, затим 691 је мапа напретка; исти код двапут значи да последња промена није обухватила ту фазу. Поновна инсталација Windows-а брише ову мапу и ретко поправља квар који живи на пролазу.

Када код престане да се мења, престаните да мењате ствари. Забележите тренутни код, адресу сервера, метод аутентификације и време покушаја, затим упоредите тај запис са клијентом који ради. Разлика између два записа обично је мања од списка поправки које људи испробавају подразумевано.