远程访问故障排除指南（VPN 和 AOVPN） - Windows Server

本文中列出的资源可帮助你解决使用远程访问时遇到的问题。建议的故障排除步骤 - VPN 部署通常要求在服务器或客户端计算机上进行最低限度的手动配置。你需要考虑的主要问题是在防火墙上打开了正确的端口，并将其转发到了服务器，并启用了 VPN。 VPN 应该可以直接工作。另外，请确保客户端上的 VPN 设置选择了适当的协议。 - 对 VPN 连接进行故障排除和测试的第一步是了解 Always On VPN (AOVPN) 基础结构的核心组件。 - 如果 AO

本文中列出的资源可帮助你解决使用远程访问时遇到的问题。

建议的故障排除步骤

VPN 部署通常要求在服务器或客户端计算机上进行最低限度的手动配置。你需要考虑的主要问题是在防火墙上打开了正确的端口，并将其转发到了服务器，并启用了 VPN。 VPN 应该可以直接工作。另外，请确保客户端上的 VPN 设置选择了适当的协议。
对 VPN 连接进行故障排除和测试的第一步是了解 Always On VPN (AOVPN) 基础结构的核心组件。
如果 AOVPN 设置没有将客户端连接到你的内部网络，这可能是由于无效的 VPN 证书、不正确的 NPS 策略、影响客户端部署脚本的问题或者路由和远程访问中出现的问题。

排查远程访问 VPN 问题

Microsoft Edge 忽略 PAC 设置 - android 13 中的 Microsoft Edge 将忽略在 intune Microsoft 中每个应用 VPN 配置文件中配置的代理自动配置（PAC）设置。
事件 ID：20227，错误代码 720 - VPN 客户端未完成 VPN 连接，因为未正确绑定 WAN 微型端口 (IP) 适配器。
L2TP VPN 失败并出现错误 787 - 在与远程访问服务器的 L2TP VPN 连接失败时发生。第二层隧道协议 (L2TP) 连接的 Internet 协议安全性 (IPSec) 安全关联 (SA) 建立失败，因为服务器使用来自不同证书颁发机构的通配符证书或证书作为配置在客户端上的计算机证书。路由和远程访问 (RRAS) 将选择它可以在计算机证书存储中找到的第一个证书。在此方面，L2TP 的行为与安全套接字隧道协议 (SSTP)、IP-HTTPS 或任何其他手动配置的 IPsec 规则不同。对于 L2TP，你依赖于 RRAS 内置机制来选择证书。你无法更改此条件。
使用 MS-CHAPv2 时，LT2P/IPsec RAS VPN 连接失败 - 使用 MS-CHAPv2 身份验证时，你遇到了与 Windows 远程访问服务 (RAS) 服务器的 L2TP/IPsec VPN 连接中断的情况。如果修改了身份验证域控制器 (DC) 上的 LmCompatibilityLevel 设置的默认值，则会出现此问题。
连接到 VPN 服务器后无法连接到 Internet - 此问题将阻止你在登录到使用 VPN 运行路由和远程访问的服务器后连接到 Internet。如果将 VPN 连接配置为使用远程网络上的默认网关，则可能出现此问题。该设置会覆盖你在传输控制协议/Internet 协议 (TCP/IP) 设置中指定的默认网关设置。
无法建立远程访问 VPN 连接 - 帮助你排除典型问题的信息，这些问题会阻止客户端连接到 VPN 服务器。
无法发送和接收数据 - 有关双向远程访问 VPN 连接失败（旧操作系统）的常见原因和解决方法的信息。

排查 AOVPN 问题

错误代码：800 - 未进行远程连接，因为尝试的 VPN 隧道失败。可能无法访问 VPN 服务器。如果此连接正尝试使用 L2TP/IPsec 隧道，则 IPsec 协商所需的安全参数可能未正确配置。
错误代码：809 - 计算机与 VPN 服务器之间的网络连接无法建立，因为远程服务器未响应。这可能是因为计算机和远程服务器之间的某个网络设备（如防火墙、NAT 或路由器）没有配置为允许 VPN 连接。请与管理员或服务提供商联系，确定导致该问题的设备。
错误代码：812 - 无法连接到 AOVPN。由于 RAS 或 VPN 服务器上配置的某个策略，连接被阻止。具体而言，服务器用于验证用户名和密码的身份验证方法与连接配置文件中配置的身份验证方法不匹配。关于此错误，请通知 RAS 服务器的管理员。
错误代码：13806 - IKE 未找到有效的计算机证书。有关如何在适当的证书存储中安装有效的证书，请与网络安全管理员联系。
错误代码：13801 - 无法接受 IKE 身份验证凭据。
错误代码：0x80070040 - 服务器证书没有将服务器身份验证作为其证书使用条目之一。
错误代码：0x800B0109 - VPN 客户端联接到发布受信任的根证书（例如来自企业 CA 的证书）的 Active Directory 域。对于所有域成员，证书将自动安装在受信任的根证书颁发机构存储中。但是，如果计算机未加入该域，或者你使用备用证书链，则可能会遇到此问题。
Always On VPN 客户端连接问题 - 小小的配置错误可能会导致客户端连接失败。找出原因可能会很困难。 AOVPN 客户端在建立连接之前要经历几个步骤。
无法从“VPN 连接”边栏选项卡中删除证书 - 无法在“VPN 连接”边栏选项卡上删除证书。（Microsoft Entra 条件访问连接问题。）

数据收集

在联系Microsoft支持人员之前，可以收集有关问题的信息。

先决条件

TSS 必须由本地系统上具有管理员权限的帐户运行，并且必须接受 EULA（接受 EULA 后，TSS 不会再次提示）。
建议使用本地计算机 RemoteSigned PowerShell 执行策略。

注意

如果当前 PowerShell 执行策略不允许运行 TSS，请执行以下操作：

通过运行 cmdlet PS C:\> Set-ExecutionPolicy -scope Process -ExecutionPolicy RemoteSigned设置RemoteSigned进程级别的执行策略。
若要验证更改是否生效，请运行 cmdlet PS C:\> Get-ExecutionPolicy -List。
由于进程级别权限仅适用于当前的 PowerShell 会话，因此一旦关闭了运行 TSS 的给定 PowerShell 窗口，进程级别的分配权限也将返回到以前配置的状态。

在联系Microsoft支持人员之前收集关键信息

在所有节点上下载 TSS ，并将其解压缩到 C：\tss 文件夹中。
从提升的 PowerShell 命令提示符打开 C：\tss 文件夹。
使用以下 cmdlet 在客户端和服务器上启动跟踪：
- Client：
```
TSS.ps1 -Scenario NET_VPN
```
- 服务器:
```
TSS.ps1 -Scenario NET_RAS
```
如果跟踪首次在服务器或客户端上运行，请接受 EULA。
允许录制（PSR 或视频）。
在输入 Y 之前重现问题。

注意

如果在客户端和服务器上收集日志，请在两个节点上等待此消息，然后再重现问题。
在重现问题后输入 Y 以完成日志收集。

跟踪将存储在 C：\MS_DATA* 文件夹中的 *zip 文件中，该文件可以上传到工作区进行分析。

参考

Windows Server 2016 和 Windows 10 的 Always On VPN 部署 - 提供有关如何将远程访问部署为单租户 VPN RAS 网关以实现点到站点的 VPN 连接的说明，该网关允许远程员工使用 AOVPN 连接来连接到组织网络。建议查看此部署中所用的每项技术的设计和部署指南。
如何在 Configuration Manager 中创建 VPN 配置文件 - 本主题介绍如何在 Configuration Manager 中创建 VPN 配置文件。
Always On VPN 特性和功能 - 本主题讨论 AOVPN 的特性和功能。