VPN ของ Windows เชื่อมต่อไม่ได้? จับคู่รหัสกับบันทึกเหตุการณ์

วันศุกร์มันยังใช้ได้ วันจันทร์ไคลเอนต์ Windows ตัวเดิมตอบกลับด้วยกล่องโต้ตอบที่บอกว่าการเชื่อมต่อล้มเหลว และประโยคใต้กล่องนั้นคือประโยคที่คุณเคยเห็นมาแล้วกับปัญหาอื่นอีกเป็นสิบที่ไม่เกี่ยวข้องกัน กล่องโต้ตอบนั้นคือปลายทางของห่วงโซ่ ไม่ใช่จุดเริ่มต้น Windows ซ่อนขั้นตอนที่ความพยายามตายจริง ๆ และหลักฐานเล็ก ๆ สองชิ้นก็บอกชื่อมัน รหัสผลลัพธ์ที่เป็นตัวเลขและเหตุการณ์ RasClient หนึ่งรายการจากนาทีเดียวกัน นี่คือลำดับที่ผมใช้ ยึดความพยายามให้แน่น อ่านรหัส ดึงเหตุการณ์ แล้วเปลี่ยนเพียงชั้นเดียวเท่านั้น

ข้อความในกล่องโต้ตอบคือขั้นตอนสุดท้าย ไม่ใช่สาเหตุ

ประโยคที่คุณอ่านถูกเลือกหลังจากความพยายามคลี่ออกไปแล้ว "การเชื่อมต่อถูกยุติโดยคอมพิวเตอร์ระยะไกลก่อนที่จะสร้างการเชื่อมต่อ" ปรากฏขึ้นเมื่อเซิร์ฟเวอร์วางสายกลางการเจรจา เมื่อ IPsec ล้มเหลวก่อนที่ชื่อผู้ใช้ของคุณจะถูกส่งไป และเมื่อนโยบายปฏิเสธอุโมงค์ทั้งหมด สามเจ้าของที่แตกต่างกัน หนึ่งประโยค มองถ้อยคำเป็นกลุ่มอาการ และอย่าให้มันชี้นำสิ่งใดจนกว่ารหัสจะเห็นด้วย

สิ่งที่ยังยึดได้คือตัวความพยายาม จดชื่อการเชื่อมต่อ ชนิดอุโมงค์ที่เก็บไว้ในโปรไฟล์ — PPTP, L2TP/IPsec, SSTP หรือ IKEv2 — เวลาถึงระดับวินาที และรหัส หากไม่แน่ใจว่าโปรโตคอลใดทำงานจริง ให้เปิด %APPDATA%\Microsoft\Network\Connections\Pbk\rasphone.pbk แล้วอ่านรายการแทนการเชื่อมมั่นกับความจำ โปรไฟล์ที่นำกลับมาใช้กับโปรโตคอลใหม่จะยังคงชื่อที่แสดงเดิมไว้

อ่านตัวเลขก่อนอ่านถ้อยคำ

รหัสแบ่งเป็นสามขั้นตอน และ ขั้นตอนสำคัญกว่าถ้อยคำที่แม่นยำ การแลกเปลี่ยนการพิสูจน์ตัวตนที่ไปถึงแล้วถูกปฏิเสธ เซิร์ฟเวอร์ที่ไม่เคยตอบกลับ หรือการเจรจาที่พังทลายหลังลิงก์ขึ้นมา 691 เป็นชนิดแรก การตรวจสอบข้อมูลรับรองทำงานและล้มเหลว ไม่ว่าจะเพราะรหัสผ่านผิด บัญชีถูกล็อกหรือหมดอายุ หรือโปรโตคอลการพิสูจน์ตัวตนที่เซิร์ฟเวอร์ไม่รับ 812 ก็เป็นการปฏิเสธเช่นกัน แต่มีข้อมูลรับรองที่ใช้ได้ นโยบายบนเซิร์ฟเวอร์การเข้าถึงระยะไกลตัดสินใจสวนทางคุณ Microsoft ดูแล รายการรหัสข้อผิดพลาดสำหรับการเชื่อมต่อแบบหมุนหมายและ VPN ฉบับมาตรฐาน และคุ้มค่าที่จะอ่านหมายเลขของคุณที่นั่นก่อนค้นหาข้อความในข้อความแจ้ง

809 เป็นกลุ่มตรงข้าม ไม่มีอะไรกลับมา นี่คือปัญหาเส้นทาง TCP 443 ถูกกรองสำหรับ SSTP, GRE ถูกบล็อกสำหรับ PPTP, UDP 500 และ 4500 หรือ ESP ถูกทิ้งสำหรับการผ่าน IPsec รหัสผ่านใหม่แก้เรื่องนี้ไม่ได้ และใบรับรองใหม่ก็ไม่ได้ 720 หมายถึงลิงก์ขึ้นมาแล้วและ PPP ไม่เคยเจรจาให้เสร็จ ซึ่งชี้ไปที่โปรโตคอลไม่ตรงกันหรือเซิร์ฟเวอร์ที่ไม่สามารถกำหนดที่อยู่ได้ 789 หรือ 13801 บน IKEv2 คือตัวตนภายใน IPsec ใบรับรองที่หัวข้อไม่ตรงกับชื่อที่คุณหมุนหมาย สายโซ่ที่ไม่น่าเชื่อถือ หรือคีย์ที่แชร์ไว้ล่วงหน้าซึ่งต่างกันระหว่างสองปลาย

ดึงเหตุการณ์ RasClient ของนาทีเดียวกัน

ในตัวดูเหตุการณ์ Windows Logs > Application ที่กรองตามแหล่งที่มา RasClient คือที่แรกที่ควรดู เอกสารของ Microsoft เกี่ยวกับข้อผิดพลาด 720 ชี้ไปที่เหตุการณ์ 20227 ในบันทึกนั้น ผู้ให้บริการรายเดียวกันปล่อยตัวระบุอื่นสำหรับผลลัพธ์อื่น ดังนั้นอ่านข้อความและรหัสผลลัพธ์ที่ฝังอยู่ในนั้นแทนการถือว่า ID คือการวินิจฉัย กล่องโต้ตอบทั่วไปบวก 20227 ที่พา 720 มาด้วยก็เป็นเรื่องที่แคบลงมากแล้ว

จาก PowerShell โดยไม่ต้องคลิกผ่าน GUI:

Get-WinEvent -FilterHashtable @{
  LogName      = 'Application'
  ProviderName = 'RasClient'
  StartTime    = (Get-Date).AddMinutes(-15)
} | Format-List TimeCreated, Id, Message

ผลลัพธ์ว่างให้ข้อมูล มักหมายความว่าการหมุนหมายไม่เคยไปไกลพอที่ RAS จะบันทึกอะไร หรือซอฟต์แวร์ที่ล้มเหลวไม่ใช่ไคลเอนต์ดั้งเดิมเลย ไคลเอนต์ของบุคคลที่สามเก็บการวินิจฉัยของตัวเองและมักไม่เขียนอะไรลงในบันทึก Application ตรวจสอบบันทึกของผู้จำหน่ายก่อนสรุปว่าการบันทึกเหตุการณ์เสีย

สร้างไทม์ไลน์หนึ่งเส้นแทนกองเหตุการณ์

ลูปพยายามซ้ำสร้างเสียงรบกวน การเชื่อมต่อใหม่ห้าครั้งทิ้งกลุ่มเหตุการณ์ไว้ และสิ่งล่อใจคือการอ่านมันเป็นลำดับเดียวที่มีสาเหตุเดียว มันคือห้าความพยายามแยกกัน และมีเพียงบางส่วนที่ไปถึงเซิร์ฟเวอร์ เอากรอบสองหรือสามนาที ชื่อการเชื่อมต่อหนึ่งชื่อ และไล่ทุกเหตุการณ์พร้อมรหัสของมันเองก่อนตีความใด ๆ

จากนั้นถามว่าความพยายามหยุดที่ไหน เมื่อเกตเวย์หรือแบ็กเอนด์การพิสูจน์ตัวตนไม่เก็บบันทึกสำหรับตราเวลานั้น ไคลเอนต์ไม่เคยไปถึง และคุณกำลังดูปัญหาการเข้าถึง เมื่อแบ็กเอนด์แสดงคำขอและการปฏิเสธ การตัดสินใจเกิดขึ้นที่นั่น และกลุ่มข้อมูลรับรองหรือนโยบายก็ใช้บังคับ เปรียบนาฬิกาก่อนเปรียบเวลา ไคลเอนต์รายงานเวลาท้องถิ่น เกตเวย์จำนวนมากบันทึกเป็น UTC และความคลาดจะทำให้คู่ที่สัมพันธ์กันสมบูรณ์ดูไม่เกี่ยวข้องกัน

สำหรับการเก็บข้อมูลที่ทำซ้ำได้ ให้หมุนหมายจากบรรทัดคำสั่งและปล่อยให้พิมพ์ผลลัพธ์ออกมา:

rasdial "Office VPN"
rasdial "Office VPN" /disconnect

คอนโซลแสดงหมายเลขที่ GUI ซ่อนไว้หลังข้อความที่เป็นมิตร และการรันสองครั้งบอกคุณว่ารหัสนั้นเสถียรหรือมาเป็นครั้งคราว

แต่ละขั้นตอนบอกให้เปลี่ยนอะไร

การตั้งชื่อขั้นตอนมีประโยชน์ก็ต่อเมื่อมันย่อชุดการเปลี่ยนแปลงให้เหลือชั้นเดียว:

• 691 — การพิสูจน์ตัวตน วิธี EAP ที่ไคลเอนต์เสนอเทียบกับวิธีที่เซิร์ฟเวอร์ยอมรับ สถานะบัญชี การหมดอายุของรหัสผ่าน สิทธิ์การหมุนหมายเข้า
• 812 — นโยบายเซิร์ฟเวอร์ นโยบายการเข้าถึงระยะไกลหรือกฎ NPS ที่ตรงกับผู้ใช้รายนี้และกรอบเวลานี้
• 809 — การเข้าถึง กฎไฟร์วอลล์บนเส้นทาง NAT และการผ่านโปรโตคอล พอร์ตที่ชนิดอุโมงค์ที่เลือกต้องใช้
• 720 — การเจรจา PPP โปรโตคอลการพิสูจน์ตัวตนไม่ตรงกัน การกำหนดที่อยู่ การตั้งค่า PPP ฝั่งเซิร์ฟเวอร์
• 789 / 13801 — ตัวตน IPsec หัวข้อใบรับรองเทียบกับชื่อที่คุณหมุนหมาย สายโซ่ความเชื่อถือ คีย์ที่แชร์ไว้ล่วงหน้า

เปลี่ยนหนึ่งในนั้น ทดสอบโปรไฟล์เดิมอีกครั้ง และจดรหัสใหม่ รหัสที่ต่างออกไปหลังการเปลี่ยนแปลงคือความคืบหน้า ไม่ใช่ข้อขัดแย้ง คุณย้ายความล้มเหลวไปยังขั้นตอนที่หลังกว่า และการซ่อมแฮนด์เชกหลายขั้นตอนก็มีหน้าตาเช่นนั้น สิ่งที่คุณไม่ควรทำคือเปลี่ยนไฟร์วอลล์ ใบรับรอง และรหัสผ่านในคราวเดียวแล้วให้เครดิตกับสิ่งที่มาสุดท้าย

แบ่งปันหลักฐาน ไม่ใช่สภาพแวดล้อม

ข้อความเหตุการณ์สมบูรณ์กว่าที่เห็น พวกมันพาชื่อการเชื่อมต่อ บัญชี บ่อยครั้งเป็นชื่อหรือที่อยู่ภายในของเกตเวย์ และบางครั้งเป็นลายนิ้วมือใบรับรอง เก็บต้นฉบับไว้ในที่ที่ควรอยู่ และสร้างสำเนาที่แก้ไขแยกต่างหากสำหรับใครก็ตาม การพิมพ์ไทม์ไลน์ซ้ำจากความจำทำให้สูญเสียรายละเอียดที่ทำให้มันมีประโยชน์ไปพอดี

การส่งต่อที่จะถูกนำไปทำงานต้องมีห้าฟิลด์ รหัส ขั้นตอนที่มันสังกัด ไคลเอนต์และชนิดอุโมงค์ ตราเวลาพร้อมเขตเวลา และเกตเวย์เห็นคำขอหรือไม่ ทุกอย่างอื่นเป็นทางเลือก ด้วยห้าอย่างนี้ คนถัดไปแยกข้อถกเถียงเรื่องข้อมูลรับรองออกจากข้อถกเถียงเรื่องเส้นทางได้โดยไม่ต้องทำการสอบสวนซ้ำ

ก่อนจะปิดสิ่งใด ให้เล่นความพยายามซ้ำบนโปรไฟล์เดิมและยืนยันว่ารหัสลงเอยที่ไหนตอนนี้ ความสำเร็จคือการจบ ความล้มเหลวที่ต่างออกไปหมายความว่าขั้นตอนเดิมได้รับการแก้ไขแล้วและคุณมีขั้นถัดไปอยู่ในมือ