Error sa L2TP/IPsec 789, 720 o 691: ayusin muna ang tamang yugto

Nag-uulat ang Windows 11 ng iba't ibang numero para sa bawat yugto ng L2TP/IPsec, at ang numerong iyon ay tumutukoy sa yugto sa halip na suriin ang pagkabigo. Nabibigo ang 789 bago pa man umiral ang link ng PPP, nabibigo ang 720 habang itinataas ang link, at nabibigo ang 691 pagkatapos na umangat ang link at tanggihan ang mga kredensyal. Ang kapaki-pakinabang na desisyon ay hindi kung aling pag-aayos ang pinakasikat; ito ay kung aling yugto ang pinatutunayan ng code na naabot mo. Basahin muna iyon, pagkatapos ay palitan ang isang layer bawat pagtatangka upang ang susunod na code ay may masabi pa sa iyo.

Basahin ang code bilang yugto, hindi bilang listahan ng mga depekto

Tinatawid ng koneksyon ng L2TP ang tatlong hangganan sa isang takdang pagkakasunod-sunod. Nakikipag-ayos ang IKE ng mga asosasyon ng seguridad sa UDP 500, inililipat ng pagtawid ng NAT ang trapikong iyon sa UDP 4500, at pagkatapos lamang ay nagdadala ang tunnel ng L2TP ng sesyon ng PPP na nagpapatunay sa gumagamit at naglalaan ng address.

Ang pagkakasunod-sunod na iyon ang dahilan kung bakit ang nagbabagong code ng error ay kapaki-pakinabang na ebidensya. Ang paglipat mula 789 patungong 720 ay nangangahulugang nakikipag-ayos na ang IPsec at lumipat ang pagkabigo sa pagtatatag ng link. Ang paglipat mula 720 patungong 691 ay nangangahulugang umangat ang link at tinanggihan ng gateway ang pagkakakilanlan. Kung maglalapat ka ng limang pag-aayos nang sabay, mawawala ang senyales na iyon at hindi mo masasabi kung aling pagbabago ang gumana.

789: pumili sa pagitan ng landas at ng lokal na patakaran

Ang code 789 ay isang error sa pagproseso habang nagaganap ang mga paunang negosasyon sa seguridad. Hindi kailanman gumawa ang IPsec ng magagamit na asosasyon, kaya hindi pa nasusubok ang account. Magsimula sa landas at sa ibinahaging susi, hindi sa account.

Kumpirmahin na naaabot ng UDP 500 at UDP 4500 ang server at tumutugma ang paunang ibinahaging susi bawat byte, kasama ang malalaki at maliliit na titik at mga puwang sa dulo. Kung ang server ay nasa likod ng NAT, maaaring kailanganin din ng Windows ang dokumentadong halaga ng rehistro. Gamitin ang 1 kapag ang server ay nasa likod ng NAT at 2 kapag ang magkabilang dulo ay gayon, pagkatapos ay i-restart dahil binabasa ng ahente ng patakaran ang halaga sa pagsisimula:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Ang mas mabigat na pagkumpuni ng adapter ay kabilang sa kabilang sangay. Ang pagtanggal ng Wi-Fi device at ng maliliit na port ng WAN at pagkatapos ay muling pag-scan para sa hardware ay makatwiran kapag ang lokal na stack ng IPsec mismo ay sira at ang iba pang uri ng VPN ay nabibigo sa parehong paraan. Ito ay sayang na pagsisikap kapag isang L2TP server lamang ang nabibigo habang gumagana ang lahat ng iba pang landas ng network.

720: pumili sa pagitan ng adapter na ito at ng pool ng server

Iniuulat ng error 720 na hindi maitatag ang koneksyon sa malayong computer, at lumilitaw ito pagkatapos na magtagumpay ang IPsec. Naabot ng tunnel ang punto ng pag-angat ng interface o pagkuha ng address, pagkatapos ay tumigil. Ginagawa nitong tanong tungkol sa lokal na adapter o tanong tungkol sa kapasidad ng server.

Gamitin ang radius ng epekto upang magpasya. Ang isang Windows machine na nabibigo ay tumuturo sa sira na maliliit na port ng WAN, huminto na serbisyo ng Remote Access o corrupt na profile ng koneksyon. Ang maraming kliyente na nabibigo nang sabay ay tumuturo sa server: naubos na pool ng address, huminto na serbisyo ng RRAS o pool na hindi na tumutugma sa subnet ng kliyente. Ayusin ang panig na itinuturo ng pattern bago baguhin ang isa.

Sa sangay ng isang kliyente, tanggalin ang maliliit na port ng WAN nang isang beses at i-scan ang mga pagbabago sa hardware, pagkatapos ay i-restart at subukang muli. Sa sangay ng server, suriin ang pool at ang kalagayan ng serbisyo sa halip na ang kliyente, dahil ang muling pag-install ng gumaganang adapter ay hindi makakalikha ng address na wala sa server.

691: pumili sa pagitan ng kredensyal at ng huminto na katulong

Ang code 691 ay pagtanggi sa pagpapatunay, at ito ang code na pinakamadalas na maling basahin bilang maling password. Nakaangat ang tunnel, nakakita ang gateway ng pagkakakilanlan, at tinanggihan ito. Maaari pa ring nasa labas ng field ng password ang dahilan.

Suriin muna ang field ng domain, pagkatapos ang eksaktong mga character sa password. Ang password na may puwang, panipi o espesyal na character ng shell ay maaaring masira bago pa umabot sa server; sa Linux, pppd nag-uulat ng parehong pagtanggi tulad ng E=691 para sa halagang walang panipi o nawawalang domain. I-type muli ang lihim sa halip na i-paste ito, at burahin ang anumang naka-save na kredensyal na maaaring may lumang halaga.

Ang sangay na nakakaligtaan ng mga tao ay huminto na serbisyong pantulong. Kapag ang kliyente ng vendor ay umaasa sa sarili nitong serbisyo upang ipasa ang mga kredensyal sa gateway, ang naka-disable o nag-crash na serbisyo ay gumagawa ng 691 kahit tama ang password. Suriin ang kalagayan ng serbisyo ng vendor bago i-reset ang account, lalo na pagkatapos ng restart o update.

Upang paghiwalayin ang mga sangay, subukan ang parehong username sa ibang gumaganang profile ng VPN o test account ng RADIUS. Kung magtagumpay iyon, maayos ang kredensyal at kahina-hinala ang lokal na landas ng kliyente. Kung mabibigo ito sa parehong paraan, ang account o ang patakaran ng gateway ang problema.

Palitan ang isang layer bawat pagtatangka

Magtrabaho mula sa labas patungo sa loob: maaabot at pagtawid ng NAT, pagkatapos ang paunang ibinahaging susi, pagkatapos ang lokal na stack ng adapter, pagkatapos ang kredensyal, pagkatapos ang pool ng server at mga serbisyo. Sinusunod ng pagkakasunod-sunod na iyon ang mga yugtong inilalarawan ng mga code at pinapanatili ang bawat resulta na maiuugnay sa isang pagbabago.

Magtago ng maikling log ng code bago at pagkatapos ng bawat pagtatangka, ng build ng kliyente, at kung ang server o kliyente ay binago. Ang pagkakasunod-sunod tulad ng 789, pagkatapos 720, pagkatapos 691 ay mapa ng pag-unlad; ang parehong code nang dalawang beses ay nangangahulugang hindi hinarap ng huling pagbabago ang yugtong iyon. Binubura ng muling pag-install ng Windows ang mapang ito at bihirang ayusin ang pagkabigong naninirahan sa gateway.

Kapag tumigil ang code sa pagbabago, tumigil sa pagbabago ng mga bagay. Itala ang kasalukuyang code, address ng server, paraan ng pagpapatunay at oras ng pagtatangka, pagkatapos ay ihambing ang rekord na iyon sa isang kliyenteng gumagana. Ang pagkakaiba ng dalawang rekord ay karaniwang mas maliit kaysa sa listahan ng mga pag-aayos na sinusubukan ng mga tao bilang default.