Windows VPN Bağlanmıyor mu? Kodu Olay Günlüğüyle Eşleştirin

Cuma günü çalışıyordu. Pazartesi aynı Windows istemcisi bağlantı denemesinin başarısız olduğunu söyleyen bir iletişim kutusuyla yanıt veriyor ve altındaki cümle bir düzine ilgisiz sorun için daha önce gördüğünüz cümle. O iletişim kutusu bir zincirin sonu, başlangıcı değil. Windows denemenin gerçekte hangi aşamada öldüğünü gizler ve iki küçük kanıt onu adlandırır: sayısal sonuç kodu ve aynı dakikadan bir RasClient olayı. Kullandığım sıra şu — denemeyi sabitleyin, kodu okuyun, olayı çekin ve ardından tam olarak bir katmanı değiştirin.

İletişim kutusu metni son adımdır, sebep değil

Okuduğunuz cümle, deneme çoktan çözüldükten sonra seçilir. "Bağlantı kurulmadan önce uzak bilgisayar tarafından bağlantı sonlandırıldı" iletisi, bir sunucu görüşmenin ortasında telefonu kapattığında, kullanıcı adınız gönderilmeden önce IPsec başarısız olduğunda ve bir ilke tüneli doğrudan reddettiğinde görünür. Üç farklı sahip, tek cümle. İfadeyi bir belirti sınıfı olarak ele alın ve kod onunla aynı fikirde olana kadar hiçbir şeyi yönlendirmesine izin vermeyin.

Hâlâ sabitleyebileceğiniz şey denemenin kendisi. Bağlantının adını, profilde saklanan tünel türünü — PPTP, L2TP/IPsec, SSTP veya IKEv2 —, saniyesine kadar saati ve kodu yazın. Hangi protokolün gerçekten çalıştığından emin değilseniz, belleğe güvenmek yerine %APPDATA%\Microsoft\Network\Connections\Pbk\rasphone.pbk dosyasını açıp girdiyi okuyun; yeni bir protokol için yeniden kullanılan profil eski görünen adını korur.

Sözcükleri okumadan önce sayıyı okuyun

Kodlar üç aşamaya düşer ve aşama tam ifadeden daha önemlidir: ulaşılan ve reddedilen bir kimlik doğrulama alışverişi, hiç yanıt vermeyen bir sunucu ya da bağlantı yükseldikten sonra çöken bir görüşme. 691 ilk türdür — kimlik bilgisi denetimi çalıştı ve başarısız oldu; ister kötü parola, ister kilitli veya süresi dolmuş hesap, ister sunucunun kabul etmediği bir kimlik doğrulama protokolü yüzünden olsun. 812 de bir rettir, ama geçerli kimlik bilgileriyle: uzak erişim sunucusundaki bir ilke sizin aleyhinize karar verdi. Microsoft kanonik çevirmeli ve VPN bağlantıları için hata kodu listesi listesini tutar ve ileti metnini aramadan önce numaranızı orada okumaya değer.

809 karşıt sınıftır: hiçbir şey geri gelmedi. Bu bir yol sorunudur — SSTP için TCP 443 filtrelenir, PPTP için GRE engellenir, IPsec geçişi için UDP 500 ve 4500 veya ESP düşürülür. Yeni bir parola bunu düzeltemez, yeni bir sertifika da düzeltemez. 720 bağlantının yükseldiği ve PPP'nin görüşmeyi hiç bitirmediği anlamına gelir; bu da protokol uyumsuzluğuna veya adres atayamayan bir sunucuya işaret eder. 789, veya IKEv2'de 13801, IPsec içindeki kimliktir: konusu aradığınız adla eşleşmeyen bir sertifika, güvenilmeyen bir zincir veya iki uç arasında farklı olan önceden paylaşılmış bir anahtar.

Aynı dakikanın RasClient olayını çekin

Olay Görüntüleyicisi'nde RasClient kaynağına göre filtrelenmiş Windows Logs > Application ilk bakılacak yerdir. Microsoft'un 720 hatasıyla ilgili yazısı o günlükteki 20227 olayına işaret eder. Aynı sağlayıcı başka sonuçlar için başka tanımlayıcılar yayar, bu yüzden kimliği tanı olarak görmek yerine iletiyi ve içine gömülü sonuç kodunu okuyun; genel bir iletişim kutusu artı 720 taşıyan bir 20227 zaten çok daha dar bir hikâyedir.

PowerShell'den, GUI'de tıklamadan:

Get-WinEvent -FilterHashtable @{
  LogName      = 'Application'
  ProviderName = 'RasClient'
  StartTime    = (Get-Date).AddMinutes(-15)
} | Format-List TimeCreated, Id, Message

Boş bir sonuç bilgilendiricidir. Genellikle çevirmenin RAS'ın bir şey kaydetmesi için yeterince ileri gitmediği ya da başarısız olan yazılımın yerel istemci olmadığı anlamına gelir — üçüncü taraf istemciler kendi tanılamalarını tutar ve çoğu zaman Application günlüğüne hiçbir şey yazmaz. Olay günlüğünün bozuk olduğu sonucuna varmadan önce sağlayıcının günlüğünü kontrol edin.

Bir olay yığını yerine tek bir zaman çizelgesi kurun

Yeniden deneme döngüleri gürültü üretir. Beş otomatik yeniden bağlanma bir olay kümesi bırakır ve bunları tek nedenli tek bir dizi olarak okuma cazibesi doğar. Bunlar beş ayrı denemedir ve yalnızca bazıları bir sunucuya ulaştı. İki üç dakikalık bir pencere, tek bir bağlantı adı alın ve herhangi bir şeyi yorumlamadan önce her olayı kendi koduyla listeleyin.

Sonra denemenin nerede durduğunu sorun. Ağ geçidi veya kimlik doğrulama arka ucu o zaman damgası için hiçbir kayıt tutmuyorsa istemci oraya hiç ulaşmamıştır ve erişilebilirlik sorununa bakıyorsunuz. Arka uç bir istek ve bir ret gösteriyorsa karar orada verilmiştir ve kimlik bilgisi ya da ilke sınıfı geçerlidir. Saatleri karşılaştırmadan önce zamanları karşılaştırın: istemciler yerel saati bildirir, birçok ağ geçidi UTC olarak kaydeder ve bir kayma, kusursuz korelasyonlu bir çifti ilgisiz gösterecektir.

Yinelenebilir bir kayıt için komut satırından çevirip sonucu yazdırmasına izin verin:

rasdial "Office VPN"
rasdial "Office VPN" /disconnect

Konsol, GUI'nin dostça metnin arkasına sakladığı numarayı gösterir ve iki kez çalıştırmak kodun kararlı mı yoksa aralıklı mı olduğunu söyler.

Her aşama neyi değiştirmenizi söyler

Aşamayı adlandırmak yalnızca değişiklik kümesini tek bir katmana indiriyorsa yararlıdır:

• 691 — kimlik doğrulama: istemcinin sunduğu EAP yöntemi ile sunucunun kabul ettiği yöntem, hesap durumu, parola süresi, arayan erişim izni.
• 812 — sunucu ilkesi: bu kullanıcıya ve bu zaman penceresine uyan uzak erişim ilkesi veya NPS kuralı.
• 809 — erişilebilirlik: yoldaki güvenlik duvarı kuralları, NAT ve protokol geçişi, seçilen tünel türünün gerektirdiği bağlantı noktası.
• 720 — PPP görüşmesi: kimlik doğrulama protokolü uyumsuzluğu, adres ataması, sunucu tarafında bir PPP ayarı.
• 789 / 13801 — IPsec kimliği: sertifika konusu ile aradığınız ad, güven zinciri, önceden paylaşılmış anahtar.

Bunlardan birini değiştirin, aynı profili yeniden test edin ve yeni kodu not edin. Bir değişiklikten sonra farklı bir kod ilerlemedir, çelişki değil: arızayı daha sonraki bir aşamaya taşıdınız ve çok aşamalı bir el sıkışmayı onarmak böyle görünür. Yapmamanız gereken şey güvenlik duvarını, sertifikayı ve parolayı tek oturumda değiştirip sonra en son gelene paye vermektir.

Kanıtı paylaşın, ortamı değil

Olay iletileri göründüklerinden daha zengindir. Bağlantı adını, hesabı, çoğu zaman ağ geçidinin iç adını veya adresini ve bazen bir sertifika parmak izini taşırlar. Orijinali ait olduğu yerde tutun ve başka herkes için ayrı bir redakte kopya oluşturun; zaman çizelgesini bellekten yeniden yazmak onu yararlı kılan ayrıntıları tam olarak kaybeder.

Üzerinde çalışılacak bir devir beş alan gerektirir: kod, ait olduğu aşama, istemci ve tünel türü, saat dilimiyle birlikte zaman damgası ve ağ geçidinin isteği görüp görmediği. Geri kalan her şey isteğe bağlıdır. Bu beşiyle bir sonraki kişi, soruşturmayı tekrarlamadan kimlik bilgisi tartışmasını yönlendirme tartışmasından ayırabilir.

Bir şeyi kapatmadan önce denemeyi aynı profilde yeniden oynatın ve kodun şimdi nereye düştüğünü doğrulayın. Başarı bunu bitirir; farklı bir hata, özgün aşamanın düzeltildiği ve bir sonrakinin elinizde olduğu anlamına gelir.