2.5. Устранение неполадок

2.5.1 Устранение неполадок виртуальных частных сетей удаленного доступа

Не удается установить VPN-подключение удаленного доступа

• Причина: имя клиентского компьютера совпадает с именем другого компьютера в сети.  Решение: Убедитесь, что имена всех компьютеров в сети и компьютеров, подключающихся к сети используются уникальные имена компьютеров.

• Причина: не запущена служба маршрутизации и удаленного доступа на VPN-сервере.  Решение: Проверьте состояние службы маршрутизации и удаленного доступа на VPN-сервере. Дополнительные сведения о том, как наблюдение за работой службы маршрутизации и удаленного доступа и как запустить и остановить службу маршрутизации и удаленного доступа содержатся в разделе Центр поддержки и справки Windows Server 2003. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

• Причина: удаленный доступ не включен на сервере VPN. 

• Решение: Включение удаленного доступа на VPN-сервере.

Дополнительные сведения о включении сервера удаленного доступа содержатся в разделе Центр поддержки и справки Windows Server 2003. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

• Причина: порты PPTP или L2TP не включены для входящих запросов удаленного доступа.  Решение: включите порты PPTP или L2TP (или оба) для входящих запросов удаленного доступа. Дополнительные сведения о настройке портов для удаленного доступа обратитесь в центр поддержки и справки Windows Server 2003. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

• Причина: протоколы локальной сети, используемым VPN-клиентами не включены для удаленного доступа на VPN-сервере. 

• Решение: включите протоколы локальной сети, используемым VPN-клиентами удаленного доступа на VPN-сервере.

Дополнительные сведения о просмотре свойств сервера удаленного доступа содержатся в разделе Центр поддержки и справки Windows Server 2003. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

• Причина: все порты PPTP или L2TP на сервере VPN уже используется в данный момент подключенных клиентов удаленного доступа или маршрутизаторами вызова по требованию.  Решение: Убедитесь, что все порты PPTP или L2TP на сервере VPN уже используются. Для этого щелкните порты в службе маршрутизации и удаленного доступа. Если число портов PPTP или L2TP — изменение не достаточно высок, число портов PPTP или L2TP, чтобы разрешить более одновременных подключений. Дополнительные сведения о добавлении портов PPTP или L2TP обратитесь в центр поддержки и справки Windows Server 2003. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

• Причина: VPN-сервер не поддерживает протокол туннелирования VPN-клиента.  По умолчанию Windows Server 2003 удаленный доступ VPN клиентам использовать Автоматический тип сервера, что означает, что они сначала пытаются установить L2TP через подключение VPN на основе IPSec, а затем они пытаются установить подключение на основе протокола PPTP VPN. Если VPN-клиенты используют тип сервераТуннельный протокол точка-точка (PPTP) или Туннельный протокол уровня 2 (L2TP) , убедитесь, что выбранный туннельный протокол поддерживается сервером VPN. 

По умолчанию компьютер под управлением сервера Windows Server 2003 и службой маршрутизации и удаленного доступа является сервером PPTP и L2TP с пятью портами L2TP и пятью портами PPTP. Чтобы создать сервер, поддерживающий только протокол PPTP, установите число портов L2TP на ноль. Чтобы создать сервер, поддерживающий только протокол L2TP, установите PPTP число портов до нуля. 

• Решение: Убедитесь, что соответствующее число портов PPTP или L2TP настроен. Дополнительные сведения о добавлении портов PPTP или L2TP обратитесь в центр поддержки и справки Windows Server 2003. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

• Причина: VPN-клиент и сервер VPN в сочетании с политикой удаленного доступа не настроены на использование хотя бы одного общего метода проверки подлинности.  Решение: настройте VPN-клиент и сервер VPN в сочетании с политикой удаленного доступа на использование хотя бы одного общего метода проверки подлинности. Дополнительные сведения о настройке проверки подлинности содержатся в разделе Центр поддержки и справки Windows Server 2003. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

• Причина: VPN-клиент и сервер VPN в сочетании с политикой удаленного доступа не настроены на использование хотя бы одного общего метода шифрования.  Решение: настройте VPN-клиент и сервер VPN в сочетании с политикой удаленного доступа на использование хотя бы одного общего метода шифрования. Дополнительные сведения о настройке шифрования обратитесь в центр поддержки и справки Windows Server 2003. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

• Причина: VPN-подключение не имеет необходимые разрешения на свойства удаленного доступа учетной записи пользователя и политики удаленного доступа.  Решение: Убедитесь, что VPN-подключение имеет необходимые разрешения на свойства удаленного доступа учетной записи пользователя и политики удаленного доступа. Для установления подключения параметры попытки подключения должны:

  • Соответствовать всем условиям по крайней мере одной политики удаленного доступа.

  • Предоставлять разрешения удаленного доступа учетной записью пользователя (переключатель Разрешить доступ) или учетной записью пользователя (значение Управление доступом с помощью политики удаленного доступа) и разрешение на удаленный доступ для соответствующей политики удаленного доступа (переключатель предоставить право удаленного доступа).

  • Соответствовать всем параметрам профиля.

  • Соответствовать всем параметрам коммутируемых свойств учетной записи пользователя.

Обратитесь в центр поддержки и справки Windows Server 2003 введение в политику удаленного доступа, а также дополнительные сведения о том, как принять попытку подключения. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

• Причина: параметры профиля политики удаленного доступа противоречат параметрам VPN-сервера. Свойства профиля политики удаленного доступа и VPN-сервера заданы параметры для свойства:

  • Многоканальные подключения.

  • Протокол распределения пропускной способности (BAP).

  • Протоколы проверки подлинности.

Если параметры профиля соответствующей политики удаленного доступа конфликтуют с параметрами сервера VPN, попытка подключения отклоняется. Например если профиль соответствующей политики удаленного доступа указано, что на VPN-сервере не установлен протокол расширенной проверки подлинности - должен использоваться протокол проверки подлинности (EAP-TLS) уровень безопасности транспорта и протокола EAP, попытка подключения отклоняется.  Решение: Убедитесь, что параметры профиля политики удаленного доступа не противоречат параметрам VPN-сервера. Центр поддержки и справки Windows Server 2003 более подробные сведения о дополнительной информацией о многоканальных протоколы BAP и проверки подлинности. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

• Причина: отвечающий маршрутизатор не может проверить учетные данные вызывающего маршрутизатора (имя пользователя, пароль и имя домена).  Решение: Убедитесь, что учетные данные клиента VPN (имя пользователя, пароль и имя домена) верны и могут быть проверены сервером VPN.

• Причина: не достаточное количество адресов в пул статических IP-адресов.  Решение: Если VPN-сервер настроен статический пул IP-адресов, убедитесь, что достаточное количество адресов в пуле. Если все адреса из статического пула уже заняты подключенными клиентами, сервер VPN не может выделить IP-адрес и отклоняет попытку подключения. Если все адреса из статического пула уже заняты, измените пулы.Дополнительные сведения о том, как создать статический пул IP-адресов, TCP/IP и удаленного доступа содержатся в разделе Центр поддержки и справки Windows Server 2003. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

• Причина: VPN-клиент настроен на запрос собственного номера узла IPX, а VPN-сервер не настроен для разрешения клиентам IPX запрашивать номера узлов IPX.  Решение: настройте VPN-сервер, чтобы разрешить клиентам IPX запрашивать номера узлов IPX. Центр поддержки и справки Windows Server 2003 более подробные сведения о IPX и удаленного доступа. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

• Причина: VPN-сервер настроен диапазон номеров сети IPX, которые уже используются в другом месте сети IPX. 

• Решение: настройте на VPN-сервере диапазон номеров сети IPX, уникальный в сети IPX. Центр поддержки и справки Windows Server 2003 более подробные сведения о IPX и удаленного доступа. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

• Причина: поставщик проверки подлинности на VPN-сервере настроена неправильно. 

• Решение: Проверьте конфигурацию службы проверки подлинности. Можно настроить VPN-сервер для использования Windows Server 2003 или службы проверки подлинности удаленных пользователей (RADIUS) для проверки подлинности VPN-клиентов.

Дополнительные сведения о проверки подлинности и учета поставщиков и использование проверки подлинности RADIUS обратитесь в центр поддержки и справки Windows Server 2003. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

• Причина: VPN-сервер не может получить доступ к Active Directory. 

• Решение: для VPN-сервера, являющегося рядовым сервером в смешанном или основном режиме домена Windows Server 2003, который настроен для проверки подлинности Windows Server 2003, убедитесь, что:

  • Существует группа безопасности Серверы RAS и IAS . Если нет, создать группу и установите тип группы безопасности и область действия группы домена локально.

  • У группы безопасности RAS и IAS серверы есть разрешение на чтение для объекта проверки доступа RAS и IAS серверов.

  • Учетная запись компьютера VPN-сервер является членом группы безопасности RAS и IAS-серверов . Для просмотра текущей регистрации можно использовать команды netsh ras show registeredserver . Можно использовать команды netsh ras add registeredserver для регистрации на сервере в указанном домене.

При добавлении (или удалении) VPN-сервер в группу безопасности Серверы RAS и IAS , изменения не вступают в силу немедленно (из-за кэширования данных Active Directory в Windows Server 2003). Чтобы немедленно влияет это изменение, перезапустите VPN-сервер.

• VPN-сервер является членом домена.

Центр поддержки и справки Windows Server 2003 более подробные сведения о том, как добавить группу, проверка разрешений группы безопасности RAS и IAS, а также о командах netsh для удаленного доступа. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

• Причина: сервер VPN под управлением Windows NT 4.0 не удается проверить запросы на подключение.  Решение: Если VPN-клиенты подключаются к VPN-серверу под управлением Windows NT 4.0, который является членом домена смешанного режима Windows Server 2003, убедитесь, что группа "Все" добавлена в группу Пред-Windows 2000 доступ с помощью следующей команды:

"net localgroup"Пред-Windows 2000 доступ""

Если нет, введите следующую команду в командной строке на компьютере контроллера домена и последующей перезагрузки контроллера домена:

net localgroup «Пред-Windows 2000 доступ» все / add

Центр поддержки и справки Windows Server 2003 более подробные сведения о сервере удаленного доступа Windows NT 4.0 в домене Windows Server 2003. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

• Причина: VPN-сервер не удается связаться с настроенным сервером RADIUS.  Решение: Если RADIUS-сервера можно получить доступ только через интерфейс с Интернетом, выполните одно из следующих действий:

  • Добавьте входной и выходной фильтры для интерфейса с Интернетом UDP-порт 1812 (основываясь на RFC 2138, "удаленной проверки подлинности коммутируемых пользователей (RADIUS)"). –ИЛИ-

  • Добавьте входной и выходной фильтры для интерфейса с Интернетом UDP-порт 1645 (для более старых серверов RADIUS) для проверки подлинности RADIUS и UDP-порт 1813 (основываясь на RFC 2139, «RADIUS Accounting»). - или - 

  • - или - добавить входной и выходной фильтры для интерфейса с Интернетом UDP-порт 1646 (для более старых серверов RADIUS) для RADIUS-учета.

Дополнительные сведения о том, как добавить фильтр пакетов содержатся в разделе Центр поддержки и справки Windows Server 2003. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

• Причина: не удается подключиться к серверу виртуальной частной сети через Интернет с помощью программы Ping.exe. 

• Решение: PPTP и L2TP поверх IPSec фильтрации пакетов, настроенный на интерфейсе Интернета VPN-сервера, отфильтровываются пакетов сообщений протокола ICMP (Internet Control), которые используются командой ping.Чтобы включить VPN-сервер в ответ на пакеты ICMP (ping), необходимо добавьте входной и выходной фильтры, которые разрешают передачу пакетов для IP-протокола 1 (трафик ICMP).

Дополнительные сведения о том, как добавить фильтр пакетов содержатся в разделе Центр поддержки и справки Windows Server 2003. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

Не удается отправлять и получать данные

• Причина: интерфейс соответствующего вызова по требованию не был добавлен к маршрутизируемому протоколу. 

• Решение: Добавление интерфейса соответствующий требованию к маршрутизируемому протоколу. Центр поддержки и справки Windows Server 2003 более подробные сведения о том, как добавить интерфейс маршрутизации. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

• Причина: отсутствуют маршруты с обеих сторон VPN-подключения маршрутизатора к, поддерживающих двусторонний обмен данными. 

• Решение: в отличие от удаленного доступа VPN-подключения VPN-подключения маршрутизатора к не создает автоматически маршрут по умолчанию. Создайте маршруты с обеих сторон VPN-подключения маршрутизатора к таким образом, чтобы и другая сторона VPN-подключения маршрутизатора к маршрутизации трафика.

Можно вручную добавить статические маршруты в таблицу маршрутизации, или можно добавить статические маршруты при помощи протоколов маршрутизации. Для постоянных VPN-подключений можно включить протокол RIP (Routing Information) или открытие кратчайшего пути первым (OSPF) через VPN-подключение. Для VPN-подключений по требованию можно автоматически обновлять маршруты с помощью автостатического обновления RIP. Обратитесь к встроенной справке Windows Server 2003, Дополнительные сведения о добавлении протокола IP-маршрутизации, как добавить статический маршрут и способы выполнения автостатических обновлений. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

• Причина: двусторонне-инициируемые, отвечающим маршрутизатором как подключение удаленного доступа Интерпретация VPN-подключение с маршрутизатора. 

• Решение: Если имя пользователя в учетной записи вызывающего маршрутизатора находится в списке Входящие звонки в службе маршрутизации и удаленного доступа, отвечающий маршрутизатор может интерпретировать вызывающий маршрутизатор как клиент удаленного доступа. Убедитесь, что имя пользователя в учетной записи вызывающего маршрутизатора соответствует имени интерфейса вызова по требованию на отвечающем маршрутизаторе. Если вызывающий является маршрутизатором, порт, на который был получен вызов показывает состояние активного и соответствующий интерфейс вызова по требованию — в состоянии подключен . Просмотреть дополнительные сведения о проверке состояния порта на отвечающем маршрутизаторе и проверка состояния интерфейса вызова по требованию интерактивной справки в Windows Server 2003. Нажмите кнопку Пускдля доступа к центру справки и поддержки Windows Server 2003.

• Причина: фильтры пакетов на интерфейсы вызова по требованию вызывающем и отвечающем маршрутизаторах препятствуют передаче трафика. 

Решение: Убедитесь, что интерфейсы вызова по требованию вызывающего и отвечающего маршрутизатора, которые препятствуют передаче или приему трафика нет фильтров пакетов. Можно настроить каждый интерфейс вызова по требованию IP- и IPX входные и выходные фильтры для управления ограничивающих трафик TCP/IP и IPX, разрешенный в и из интерфейса вызова по требованию. Просмотреть справку для получения дополнительных сведений об управлении фильтры пакетов Windows Server 2003. Нажмите кнопку Пуск для доступа к центру справки и поддержки Windows Server 2003.

Причина: фильтров пакетов в профиле политики удаленного доступа, не пропускают IP-трафика.  Решение: Убедитесь, что в свойствах профиля политики удаленного доступа на VPN-сервере (или на сервере RADIUS, если используется служба проверки подлинности в Интернете) не заданы фильтры пакетов TCP/IP, препятствующие отправке или приему трафика TCP/IP. Можно использовать политики удаленного доступа для настройки TCP/IP входных и выходных пакетов фильтров, ограничивающих трафик TCP/IP разрешается использовать для VPN-подключения. Убедитесь, что фильтры пакетов TCP/IP профиля не препятствуют передаче данных.