Błąd 789 podczas łączenia z VPN L2TP/IPsec

Question

Błąd 789 podczas łączenia z VPN L2TP/IPsec

Amelia Krystyna 0

Zdalni użytkownicy próbujący połączyć się z serwerem RRAS VPN otrzymują błąd 789, wskazujący na problem z warstwą zabezpieczeń L2TP/IPsec. Podejrzewamy niezgodność klucza PSK lub problem z usługami IPsec. Jak możemy sprawdzić poprawność PSK oraz upewnić się, że wymagane usługi IPsec działają prawidłowo ?

Komentarze: 0

1 odpowiedź

Twoja odpowiedź

Answer 1

Dzień dobry,

Błąd 789 w przypadku L2TP/IPsec oznacza, że tunel nie może zostać zestawiony z powodu problemu w warstwie zabezpieczeń – najczęściej niezgodny klucz PSK albo niedziałające usługi IPsec. Aby zweryfikować poprawność klucza, musisz sprawdzić konfigurację zarówno po stronie serwera RRAS, jak i klienta. Na serwerze otwórz konsolę Routing and Remote Access, wejdź w właściwości serwera VPN, zakładka „Security”, i upewnij się, że w sekcji L2TP/IPsec masz ustawiony właściwy klucz w polu „IPsec pre-shared key”. Po stronie klienta Windows klucz PSK nie jest konfigurowany ręcznie – system używa tego, co serwer wymusza – więc najczęściej problem leży po stronie serwera lub w rejestrze, jeśli były wykonywane niestandardowe zmiany. Warto też sprawdzić, czy w rejestrze pod HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\Parameters nie ma wpisu ProhibitIpSec ustawionego na 1, bo to blokuje IPsec.

Jeśli chodzi o usługi IPsec, kluczowe są: „IPsec Policy Agent” (PolicyAgent) oraz „IKE and AuthIP IPsec Keying Modules” (IKEEXT). Obie muszą być uruchomione i ustawione na tryb automatyczny. Sprawdź to w services.msc albo poleceniem sc query PolicyAgent oraz sc query IKEEXT. Jeśli któraś z nich jest zatrzymana, L2TP/IPsec nie zestawi tunelu i pojawi się błąd 789. Dodatkowo warto przejrzeć logi systemowe w Event Viewerze, szczególnie w sekcji „Security” i „System”, aby zobaczyć czy pojawiają się błędy negocjacji IKE (np. 0x2027, 0x2029), które wskazują na niezgodność klucza lub problem z certyfikatami.

Podsumowując: sprawdź i popraw klucz PSK w konfiguracji RRAS, upewnij się, że PolicyAgent i IKEEXT działają, oraz przejrzyj rejestr pod kątem wpisów blokujących IPsec. Jeśli po tych krokach problem nadal występuje, warto uruchomić netsh ras set tracing * enabled i przeanalizować logi w %windir%\tracing, które pokażą szczegóły negocjacji IPsec.

Mam nadzieję, że znalazłeś tu coś przydatnego. Jeśli informacje te pomogły Ci lepiej zrozumieć zagadnienie, będę wdzięczny za zaakceptowanie odpowiedzi. W razie dalszych pytań śmiało zostaw wiadomość. Miłego dnia!

HL.