ข้อผิดพลาด L2TP/IPsec 789, 720 หรือ 691: แก้ไขขั้นตอนที่ถูกต้องก่อน

Windows 11 รายงานหมายเลขต่างกันสำหรับแต่ละขั้นตอนของ L2TP/IPsec และหมายเลขนั้นบ่งชี้ขั้นตอนมากกว่าจะให้คะแนนความล้มเหลว 789 ล้มเหลวก่อนที่ลิงก์ PPP จะมีอยู่ 720 ล้มเหลวขณะที่ลิงก์กำลังถูกยกขึ้น และ 691 ล้มเหลวหลังจากลิงก์ขึ้นแล้วและข้อมูลรับรองถูกปฏิเสธ การตัดสินใจที่มีประโยชน์ไม่ใช่การแก้ไขใดเป็นที่นิยมที่สุด แต่เป็นขั้นตอนใดที่รหัสพิสูจน์ว่าคุณไปถึงแล้ว อ่านสิ่งนั้นก่อน แล้วเปลี่ยนทีละชั้นต่อการลองหนึ่งครั้ง เพื่อให้รหัสถัดไปยังบอกอะไรคุณได้

อ่านรหัสเป็นขั้นตอน ไม่ใช่รายการข้อบกพร่อง

การเชื่อมต่อ L2TP ข้ามสามขอบเขตตามลำดับคงที่ IKE เจรจาสมาคมความปลอดภัยผ่าน UDP 500 การข้าม NAT ย้ายทราฟฟิกนั้นไปยัง UDP 4500 และหลังจากนั้นเท่านั้นที่อุโมงค์ L2TP พาเซสชัน PPP ซึ่งพิสูจน์ตัวตนผู้ใช้และกำหนดที่อยู่

ลำดับนี้เองที่ทำให้รหัสข้อผิดพลาดที่เปลี่ยนไปเป็นหลักฐานที่มีประโยชน์ การเปลี่ยนจาก 789 เป็น 720 หมายความว่า IPsec เจรจาอยู่แล้วและความล้มเหลวย้ายไปที่การสร้างลิงก์ การเปลี่ยนจาก 720 เป็น 691 หมายความว่าลิงก์ขึ้นแล้วและเกตเวย์ปฏิเสธตัวตน หากคุณใช้ห้าการแก้ไขพร้อมกัน คุณจะสูญเสียสัญญาณนั้นและบอกไม่ได้ว่าการเปลี่ยนแปลงใดได้ผล

789: เลือกระหว่างเส้นทางกับนโยบายภายในเครื่อง

รหัส 789 คือข้อผิดพลาดในการประมวลผลระหว่างการเจรจาความปลอดภัยเริ่มต้น IPsec ไม่เคยสร้างสมาคมที่ใช้งานได้ ดังนั้นบัญชียังไม่ได้ถูกทดสอบ เริ่มจากเส้นทางและคีย์ที่แชร์ร่วมกัน ไม่ใช่จากบัญชี

ยืนยันว่า UDP 500 และ UDP 4500 ไปถึงเซิร์ฟเวอร์ และคีย์ที่แชร์ไว้ล่วงหน้าตรงกันทุกไบต์ รวมถึงตัวพิมพ์ใหญ่เล็กและช่องว่างท้ายสุด หากเซิร์ฟเวอร์อยู่หลัง NAT Windows อาจต้องใช้ค่ารีจิสทรีที่จัดทำเอกสารไว้ด้วย ใช้ 1 เมื่อเซิร์ฟเวอร์อยู่หลัง NAT และ 2 เมื่อทั้งสองฝั่งเป็นเช่นนั้น จากนั้นรีสตาร์ตเพราะเอเจนต์นโยบายอ่านค่าเมื่อเริ่มระบบ:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

การซ่อมอะแดปเตอร์ที่หนักกว่าอยู่ในอีกสาขา การถอดอุปกรณ์ Wi-Fi และพอร์ตขนาดเล็ก WAN แล้วสแกนฮาร์ดแวร์ใหม่นั้นสมเหตุสมผลเมื่อสแตก IPsec ภายในเครื่องเสียหายเองและ VPN ชนิดอื่นล้มเหลวแบบเดียวกัน เป็นความพยายามที่เปล่าประโยชน์เมื่อมีเพียงเซิร์ฟเวอร์ L2TP ตัวเดียวล้มเหลวขณะที่เส้นทางเครือข่ายอื่นทั้งหมดทำงาน

720: เลือกระหว่างอะแดปเตอร์นี้กับกลุ่มเซิร์ฟเวอร์

ข้อผิดพลาด 720 รายงานว่าการเชื่อมต่อกับคอมพิวเตอร์ระยะไกลไม่สามารถสร้างได้ และปรากฏหลัง IPsec สำเร็จ อุโมงค์ไปถึงจุดที่ยกอินเทอร์เฟซหรือรับที่อยู่แล้วหยุดลง สิ่งนี้ทำให้เป็นคำถามเรื่องอะแดปเตอร์ภายในเครื่องหรือความจุของเซิร์ฟเวอร์

ใช้รัศมีผลกระทบในการตัดสินใจ เครื่อง Windows เครื่องเดียวล้มเหลวชี้ไปที่พอร์ตขนาดเล็ก WAN ที่บกพร่อง บริการ Remote Access ที่หยุด หรือโปรไฟล์การเชื่อมต่อที่เสียหาย ไคลเอนต์หลายตัวล้มเหลวพร้อมกันชี้ไปที่เซิร์ฟเวอร์: พูลที่อยู่หมด บริการ RRAS ที่หยุด หรือพูลที่ไม่ตรงกับซับเน็ตของไคลเอนต์อีกต่อไป แก้ไขฝั่งที่รูปแบบชี้ไปก่อนเปลี่ยนอีกฝั่ง

ในสาขาไคลเอนต์เดียว ถอดพอร์ตขนาดเล็ก WAN หนึ่งครั้งและสแกนการเปลี่ยนแปลงฮาร์ดแวร์ จากนั้นรีสตาร์ตและลองอีกครั้ง ในสาขาเซิร์ฟเวอร์ ให้ตรวจสอบพูลและสถานะบริการแทนไคลเอนต์ เพราะการติดตั้งอะแดปเตอร์ที่ทำงานอยู่ใหม่ไม่สามารถสร้างที่อยู่ที่เซิร์ฟเวอร์ไม่มีได้

691: เลือกระหว่างข้อมูลรับรองกับตัวช่วยที่หยุดไป

รหัส 691 คือการปฏิเสธการพิสูจน์ตัวตน และเป็นรหัสที่ถูกอ่านผิดว่าเป็นรหัสผ่านผิดบ่อยที่สุด อุโมงค์ขึ้นแล้ว เกตเวย์เห็นตัวตนและปฏิเสธตัวตนนั้น สาเหตุยังอยู่นอกช่องรหัสผ่านได้

ตรวจสอบช่องโดเมนก่อน แล้วจึงตรวจอักขระที่แน่นอนในรหัสผ่าน รหัสผ่านที่มีช่องว่าง เครื่องหมายคำพูด หรืออักขระพิเศษของเชลล์อาจเสียหายก่อนไปถึงเซิร์ฟเวอร์ บน Linux pppd รายงานการปฏิเสธเดียวกับ E=691 สำหรับค่าที่ไม่มีเครื่องหมายคำพูดหรือโดเมนที่หายไป พิมพ์ความลับใหม่แทนการวาง และล้างข้อมูลรับรองที่บันทึกไว้อาจมีค่าเก่า

สาขาที่ผู้คนมองข้ามคือบริการตัวช่วยที่หยุดไป เมื่อไคลเอนต์ของผู้ขายต้องพึ่งบริการของตัวเองในการส่งข้อมูลรับรองไปยังเกตเวย์ บริการที่ปิดใช้งานหรือพังจะสร้าง 691 แม้รหัสผ่านจะถูกต้อง ตรวจสอบสถานะบริการของผู้ขายก่อนรีเซ็ตบัญชี โดยเฉพาะหลังรีสตาร์ตหรืออัปเดต

เพื่อแยกสาขา ให้ทดสอบชื่อผู้ใช้เดียวกันกับโปรไฟล์ VPN อื่นที่ทำงานได้หรือบัญชีทดสอบ RADIUS หากสำเร็จ ข้อมูลรับรองก็ดีและเส้นทางไคลเอนต์ภายในเครื่องน่าสงสัย หากล้มเหลวแบบเดียวกัน ปัญหาอยู่ที่บัญชีหรือนโยบายเกตเวย์

เปลี่ยนทีละชั้นต่อการลองหนึ่งครั้ง

ทำงานจากนอกเข้าใน: การเข้าถึงได้และการข้าม NAT จากนั้นคีย์ที่แชร์ไว้ล่วงหน้า จากนั้นสแตกอะแดปเตอร์ภายในเครื่อง จากนั้นข้อมูลรับรอง จากนั้นพูลเซิร์ฟเวอร์และบริการ ลำดับนี้ตามขั้นตอนที่รหัสอธิบายและทำให้แต่ละผลลัพธ์โยงกับการเปลี่ยนแปลงเดียว

เก็บบันทึกสั้น ๆ ของรหัสก่อนและหลังการลองแต่ละครั้ง บิลด์ของไคลเอนต์ และเซิร์ฟเวอร์หรือไคลเอนต์ถูกเปลี่ยนหรือไม่ ลำดับเช่น 789 จากนั้น 720 จากนั้น 691 คือแผนที่ความคืบหน้า รหัสเดิมสองครั้งหมายความว่าการเปลี่ยนแปลงล่าสุดไม่ได้จัดการขั้นตอนนั้น การติดตั้ง Windows ใหม่จะลบแผนที่นี้และแทบไม่เคยแก้ไขความล้มเหลวที่อาศัยอยู่ที่เกตเวย์

เมื่อรหัสหยุดเปลี่ยน ให้หยุดเปลี่ยนสิ่งต่าง ๆ บันทึกรหัสปัจจุบัน ที่อยู่เซิร์ฟเวอร์ วิธีการพิสูจน์ตัวตน และเวลาของการลอง จากนั้นเปรียบเทียบบันทึกนั้นกับไคลเอนต์ที่ทำงานได้ ความแตกต่างระหว่างสองบันทึกมักเล็กกว่ารายการการแก้ไขที่ผู้คนลองตามค่าเริ่มต้น