Lỗi L2TP/IPsec 789, 720 hoặc 691: sửa đúng giai đoạn trước tiên

Windows 11 báo một con số khác nhau cho mỗi giai đoạn L2TP/IPsec, và con số đó đánh dấu giai đoạn chứ không đánh giá lỗi. 789 thất bại trước khi liên kết PPP tồn tại, 720 thất bại trong khi liên kết đang được nâng lên, và 691 thất bại sau khi liên kết đã lên và thông tin đăng nhập bị từ chối. Quyết định hữu ích không phải là bản sửa nào phổ biến nhất; mà là mã chứng minh bạn đã đạt tới giai đoạn nào. Hãy đọc điều đó trước, sau đó thay đổi một lớp mỗi lần thử để mã tiếp theo vẫn cho bạn biết điều gì đó.

Đọc mã như một giai đoạn, không phải như danh sách lỗi

Một kết nối L2TP đi qua ba ranh giới theo một thứ tự cố định. IKE thương lượng các hiệp hội bảo mật qua UDP 500, việc xuyên NAT chuyển lưu lượng đó sang UDP 4500, và chỉ sau đó đường hầm L2TP mới mang một phiên PPP xác thực người dùng và cấp địa chỉ.

Chính thứ tự đó khiến một mã lỗi thay đổi trở thành bằng chứng hữu ích. Đi từ 789 lên 720 nghĩa là IPsec giờ đã thương lượng và lỗi đã chuyển sang việc thiết lập liên kết. Đi từ 720 lên 691 nghĩa là liên kết đã lên và cổng từ chối danh tính. Nếu bạn áp dụng năm bản sửa cùng lúc, bạn mất tín hiệu đó và không thể nói bản sửa nào đã hiệu quả.

789: chọn giữa đường đi và chính sách cục bộ

Mã 789 là lỗi xử lý trong quá trình thương lượng bảo mật ban đầu. IPsec chưa bao giờ tạo ra một hiệp hội dùng được, vì vậy tài khoản vẫn chưa được kiểm tra. Hãy bắt đầu từ đường đi và khóa chia sẻ, không phải từ tài khoản.

Xác nhận rằng UDP 500 và UDP 4500 đến được máy chủ và khóa chia sẻ trước khớp từng byte, bao gồm chữ hoa chữ thường và dấu cách ở cuối. Nếu máy chủ nằm sau NAT, Windows cũng có thể cần giá trị sổ đăng ký đã được ghi tài liệu. Dùng 1 khi máy chủ ở sau NAT và 2 khi cả hai đầu đều vậy, sau đó khởi động lại vì tác nhân chính sách đọc giá trị lúc khởi động:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

Việc sửa bộ điều hợp nặng hơn thuộc về nhánh kia. Gỡ thiết bị Wi-Fi và các cổng mini WAN rồi quét lại phần cứng là chính đáng khi bản thân ngăn xếp IPsec cục bộ bị hỏng và các loại VPN khác cũng thất bại theo cùng cách. Đó là nỗ lực lãng phí khi chỉ một máy chủ L2TP thất bại trong khi mọi đường mạng khác vẫn hoạt động.

720: chọn giữa bộ điều hợp này và nhóm máy chủ

Lỗi 720 báo rằng không thể thiết lập kết nối tới máy tính từ xa, và nó xuất hiện sau khi IPsec thành công. Đường hầm đã tới điểm nâng giao diện hoặc lấy địa chỉ, rồi dừng lại. Điều đó khiến nó thành câu hỏi về bộ điều hợp cục bộ hoặc về dung lượng máy chủ.

Dùng bán kính ảnh hưởng để quyết định. Một máy Windows thất bại chỉ ra một cổng mini WAN lỗi, dịch vụ Remote Access đã dừng hoặc một hồ sơ kết nối bị hỏng. Nhiều máy khách thất bại cùng lúc chỉ ra máy chủ: hồ địa chỉ cạn kiệt, dịch vụ RRAS đã dừng hoặc hồ không còn khớp với mạng con của máy khách. Hãy sửa phía mà mẫu chỉ ra trước khi thay đổi phía kia.

Trong nhánh một máy khách, hãy gỡ các cổng mini WAN một lần và quét các thay đổi phần cứng, sau đó khởi động lại và thử lại. Trong nhánh máy chủ, hãy kiểm tra hồ và trạng thái dịch vụ thay vì máy khách, vì cài lại một bộ điều hợp đang hoạt động không thể tạo ra địa chỉ mà máy chủ không có.

691: chọn giữa thông tin đăng nhập và một trình trợ giúp đã dừng

Mã 691 là từ chối xác thực, và đó là mã thường bị đọc sai nhất như mật khẩu sai. Đường hầm đã lên, cổng đã thấy một danh tính và từ chối nó. Nguyên nhân vẫn có thể nằm ngoài trường mật khẩu.

Kiểm tra trường miền trước, rồi các ký tự chính xác trong mật khẩu. Một mật khẩu chứa dấu cách, dấu nháy hoặc ký tự đặc biệt của shell có thể bị hỏng trước khi tới máy chủ; trên Linux, pppd báo cùng một từ chối như E=691 đối với giá trị không có dấu nháy hoặc miền bị thiếu. Hãy gõ lại bí mật thay vì dán, và xóa mọi thông tin đăng nhập đã lưu có thể chứa giá trị cũ hơn.

Nhánh mà mọi người bỏ qua là một dịch vụ trợ giúp đã dừng. Khi máy khách của nhà cung cấp phụ thuộc vào dịch vụ riêng của nó để chuyển thông tin đăng nhập tới cổng, một dịch vụ bị tắt hoặc bị treo tạo ra 691 ngay cả khi mật khẩu đúng. Hãy kiểm tra trạng thái dịch vụ của nhà cung cấp trước khi đặt lại tài khoản, đặc biệt sau khi khởi động lại hoặc cập nhật.

Để tách hai nhánh, hãy thử cùng tên người dùng trên một hồ sơ VPN khác đang hoạt động hoặc một tài khoản thử nghiệm RADIUS. Nếu việc đó thành công, thông tin đăng nhập tốt và đường đi của máy khách cục bộ đáng ngờ. Nếu nó thất bại theo cùng cách, vấn đề là tài khoản hoặc chính sách của cổng.

Thay đổi một lớp mỗi lần thử

Làm việc từ ngoài vào trong: khả năng tiếp cận và xuyên NAT, sau đó khóa chia sẻ trước, sau đó ngăn xếp bộ điều hợp cục bộ, sau đó thông tin đăng nhập, sau đó nhóm máy chủ và các dịch vụ. Thứ tự đó theo các giai đoạn mà mã mô tả và giữ mỗi kết quả quy được về một thay đổi.

Giữ một nhật ký ngắn về mã trước và sau mỗi lần thử, về bản dựng của máy khách và về việc máy chủ hay máy khách đã bị thay đổi. Một chuỗi như 789, rồi 720, rồi 691 là bản đồ tiến triển; cùng một mã hai lần nghĩa là thay đổi cuối cùng không giải quyết giai đoạn đó. Cài lại Windows xóa bản đồ này và hiếm khi sửa được lỗi sống tại cổng.

Khi mã ngừng thay đổi, hãy ngừng thay đổi mọi thứ. Ghi lại mã hiện tại, địa chỉ máy chủ, phương thức xác thực và thời điểm thử, rồi so sánh bản ghi đó với một máy khách đang hoạt động. Khác biệt giữa hai bản ghi thường nhỏ hơn danh sách các bản sửa mà mọi người thử theo mặc định.