Сбои в ОС Windows не редкость, возникают они по разным причинам и некоторые из них могут препятствовать доступу к сети. Так, например, при наличии подключения, использующего протокол L2TP, иногда встречается ошибка с кодом 789, появляющаяся у абонентов при попытке запуска VPN с компьютера напрямую. Пользователям не впервой самостоятельно решать подобные задачи, тем более, когда речь идёт о сбоях в программной части, с аппаратными проблемами уже сложнее и чаще всего без специалиста не обойтись. Ошибка 789 VPN сообщает о сбое, случившемся на уровне безопасности в момент согласований с удалённым устройством, но попытки решить проблему путём реализации ещё одного подключения в такой ситуации безуспешны. Чаще всего сбой возникает на Windows 7 или 8, но возможен и в других версиях операционки. Если ошибок в настройке сетевого подключения нет, и система не поражена вирусами, проблема кроется в реестре. Ошибка связана с недостатком необходимых для полноценного функционирования файлов и потребуется редактирование параметров.
Исправление ошибки 789 при подключении VPN.
Что значат эти записи в реестре
Если попытка L2TP-подключения не удалась вследствие появления сбоя с кодом 789, источник проблемы сокрыт в некорректной аутентификации на базе предварительного ключа, обеспечивающего соединение по L2TP/IPSec. Для реализации функционирования процесса требуются ключи «ProhibitIpSec» и «AllowL2TPWeakCrypto». ОС Windows стандартно не может создать соединение по L2TP в отсутствии IPSec. Так, если в реестре параметр ProhibitIpSec имеет значение 1, то на устройстве с операционкой Windows 7, 8, 10 не будет осуществляться создание фильтра, который на автомате применяет проверку подлинности ЦС, тогда будет проверяться локальный либо политики IP Security. Параметр AllowL2TPWeakCrypto применяется для активации алгоритмов шифрования MD5 (Message Digest 5 шифрует любые сведения в формате 128-битного хэширования) и DES (Data Encryption Standard – стандарт симметричного шифрования, осуществляет преобразование 64-битовых блоков данных посредством 56-битового ключа). Так, ошибка 789 при соединении с L2TP внезапно появляется при удалении ключей, обеспечивающих корректность функционирования VPN-канала. Они могут пропасть после инсталляции обновлений драйверов, приложений или удаления вирусами.
Бесполезные советы по ошибке 789
Как водится, пользователи при появлении сбоев в работе Windows, в поиске решений возникшей проблемы перечитывают всю существующую информацию из сети и достаточно часто сталкиваются с совершенно безрезультатными, а иногда абсурдными способами. Один из вариантов – ошибка 789 при подключении к L2TP спровоцирована выбором неверного типа VPN. Решение предлагается гениальное:
- Перейти к настройкам VPN соединения и во вкладке «Сеть» — «Тип VPN» выбрать «Автоматически» или «PPTP».
Но ведь у нас не стоит задача, чтобы заработало подключение L2TP, и цель не заключается в поиске альтернатив, а включение PPTP не имеет никакого отношения к настройке функционирования нужного нам канала. Ещё одно из нелепых решений – обращение к провайдеру. Хотя, звонок и может быть эффективен, ведь обычно поставщик связи всегда готов поспособствовать налаживанию соединения. В данном случае он тоже поможет справиться с задачей, организовав приход мастера.
Как исправить ошибку 789 l2tp в Windows
Мы уже выяснили, что при нормально настроенной сети и исправном функционировании Windows, где, в том числе отсутствует вирусное ПО – проблема в реестре. Редактирование его вручную без имеющихся навыков не рекомендуется, поскольку при неправильных действиях вмешательство пользователя может привести к неработоспособности компьютера и повлечь за собой непоправимые последствия для операционной системы. В любом случае перед работой с реестром лучше будет создать резервную копию. Если вы являетесь опытным юзером, то ничто не мешает самостоятельно внести необходимые изменения в записи реестра, чтобы тем самым устранить ошибку 789 и затем беспрепятственно подключиться к L2TP-соединению. Выполняем такие манипуляции:
- Открываем реестр любым удобным способом (например, нажатием клавиш Win+R вызываем консоль «Выполнить», где вводим команду regedit – метод универсален. При работе с Windows 7 и более ранними версиями ОС можно открыть реестр через Пуск, запросив в поле поиска regedit).
- Реестр имеет древовидную структуру в любой из версий ОС. Так, для устранения ошибки VPN-соединения с кодом 789 идём в ветку HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Rasman\Parameters.
- Создаём или корректируем имеющиеся параметры (в строки прописываем значение 1)
- «ProhibitIpSec»=dword:00000001
- «AllowL2TPWeakCrypto»=dword:00000001.
- Подтверждаем действие.
- После выполненных манипуляций перезагружаю устройство, что необходимо для вступления в силу изменений и подключаюсь к интернету.
Испробовав этот метод для устранения ошибки 789, многие пользователи отмечают, что на Windows 10, 8, 7 проблема больше не возникает.
Repair L2TP VPN error using our practical solutions or VPN pick
by Milan Stanojevic
Milan has been enthusiastic about technology ever since his childhood days, and this led him to take interest in all PC-related technologies. He’s a PC enthusiast and he… read more
Updated on
- VPN error 789 appears when a Windows system isn’t configured properly while using the L2TP protocol.
- This error can be fixed with a quick network adapter reset from Device Manager.
- IPSec configuration should be changed as well as a fallback solution, so tweak the services as shown in our guide.
Using a VPN is a great way to protect your online privacy, but sometimes you might experience issues with it. Many Windows 10/11 users reported VPN error 789 which states the following message:
The L2TP connection attempt failed because the security layer encountered a processing error during initial negotiations with the remote computer
This issue will prevent you from achieving a safe connection on your PC, so it’s crucial that you fix it. So keep on reading to find out how to fix this problem once and for all.
Why does VPN error 789 appear?
This error pops up when your system is not properly set up to connect to an L2TP server, thus the connection attempt fails even before you establish a connection with the server.
It is also linked to the incorrect configuration of your operating system like Windows 10 in this case. This generic error is thrown when the IPSec negotiation fails for the L2TP/IPSec connections.
Other possible causes include:
- L2TP-based VPN client (or VPN server) is behind NAT
- The wrong certificate or pre-shared key is set on the VPN server or client
- A machine certificate or trusted root machine certificate is not present on the VPN server
- Machine Certificate on VPN Server does not have Server Authentication as the EKU
Before trying any of these solutions, ensure that L2TP and IPSec pass-through options are enabled from your router.
If you configured your VPN service manually, then make sure you use the preshared key 12345678. If this doesn’t work, here are more solutions you can use to fix this problem on your PC.
How do I fix the VPN error 789 on Windows 10 & 11?
- Reset network adapter
- Check the certificate
- Use a reliable VPN service
- Re-enable IPSec on your computer
1. Reset network adapter
- Press the Windows key + X and select Device Manager.
- Identify your network adapter and right-click on it then select Uninstall device.
- Click on Uninstall to confirm.
- Restart your computer. The device will reinstall and should reset it to default settings.
Refreshing the network adapter driver can make this problem go away quickly so make sure you try it out by performing the steps above.
2. Check the certificate
It is very important to ensure the correct certificate is used both on the client and the server side.
How we test, review and rate?
We have worked for the past 6 months on building a new review system on how we produce content. Using it, we have subsequently redone most of our articles to provide actual hands-on expertise on the guides we made.
For more details you can read how we test, review, and rate at WindowsReport.
In case the two don’t match, you won’t be able to use the virtual private network. You might need to renew the certificate with your provider.
If you are using a Pre Shared Key (PSK), ensure that the same PSK is configured on the client-side, and the VPN server machine.
3. Use a reliable VPN service
It is very likely that the root of this problem is that the servers you use are not very optimal for your connection. For this reason, it is recommended to use a top-level VPN service.
To make sure you will not encounter this kind of issue in the future, look for a VPN service that has a large number of servers worldwide. That guarantees an increased chance of server availability and functionality.
We used and tested ExpressVPN with 3,000 servers across the globe and multiple locations in the US to access restricted content like streaming shows or sports from overseas.
Plus, it is easy to use, you don’t need any level of proficiency to get an optimal connection.
To get started, select the subscription plan of your choice, create an account and install it. When the app is ready to open, connect to a secure server with just one click.
This VPN is amongst the most secure services out there, with a verified no-logs policy. It provides a remarkably fast connection and free content access for geo-blocked content globally.
ExpressVPN
Overcome the VPN error 789 and enjoy secure and fast browsing across the whole globe.
4. Re-enable IPSec on your computer
- Press the Windows key + R keyboard shortcut to start Run.
- Type services.msc and press Enter or click OK.
- Double-click the IKE and AuthIP IPSec Keying Modules service.
- Set the Startup type to Automatic. If the service is running, click Stop and then Start. If it’s disabled, just click Start.
- Find IPSec Policy Agent and double-click it.
- Set the Startup type to Automatic. If the service is running, stop it and start it again. If it’s not running, start it.
- Save the changes.
- Restart your VPN service.
Once you have done all the steps above carefully, the VPN should work smoothly as the protocol settings have been reset to default.
If, however, it doesn’t work, you have to manually set the encryption method both for the server and the client-side, in order for them to be compatible.
In case you have a user-specific issue on your computer yet you still get the L2TP connection attempt failed error, you can also contact the customer care or tech support team for your specific VPN provider.
- Windows Terminal Canary is now available to users everywhere
- Users are now able to quickly refresh Windows Copilot convos
- The Windows 11’s weather widget now offers a detailed weather forecast
- Here are all the shortcuts Microsoft added to Paint Layers
How do I fix Windows 11’s VPN error 789?
The following guide presents a useful method to resolve the VPN 789 error on Windows 11 PC.
Before starting this system process, be sure you understood it correctly and apply the steps as shown below to avoid potential registry damages.
NOTE
This method works only if your system is behind a NAT.
- Press Windows key + R and enter regedit.
- Navigate to the following path:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent - Right-click the space in the right pane and expand the New section. Select DWORD (32-bit) Value.
- Enter AssumeUDPEncapsulationContextOnSendRule as the name of the DWORD and double-click it.
- Set the Value data to 2 and click OK to save changes.
How does L2TP work?
Layer 2 Tunneling Protocol, also known as L2TP, is a tunneling protocol used by many VPN software.
It combines the features of other protocols including PPTP and L2F and establishes a safe connection between the VPN client and the server.
It’s important to mention that L2TP doesn’t offer encryption, and this is why it’s always paired with IPSec in order to provide the necessary security.
L2TP is also considered better than PPTP. It secures the traffic passing by it in an IPsec tunnel. If you have issues with it, we have an excellent guide on how to fix L2TP problems.
In addition, the ports you need to open are 500 and 4500 for UDP. You have the complete guide on unblocking L2TP for other ports and more.
Which is better, paid or free VPN?
While free VPNs are useful, they usually come with major limitations. In most cases, you’ll have a daily bandwidth cap. Other restrictions include the number of servers or the maximum speed that you can achieve.
With a reliable and paid VPN, you’ll have unlimited access to any server and no data restrictions, which makes it a superior choice for most users.
Fixing VPN error 789 is relatively simple, and we hope that this guide helped you solve the issue on your PC.
If the issue is still there, you can change your software completely. Just check our list including the best VPNs for Windows 10 and pick the one that suits your needs.
Do let us know if any of these solutions fixed VPN error 789 by leaving a comment in the section below.
Ошибка подключения к L2TP VPN появилась компьютерах под управлением Windows 10/11.
В январе 2022 года вышли обновления KB5009543 (Windows 10) и KB5009566 (Windows 11), которые включали исправления и улучшения безопасности, но из-за которого многие пользователи L2TP-VPN столкнулись с ошибкой «Попытка L2TP-подключения не удалась из-за ошибки, произошедшей на уровне безопасности во время согласований с удаленным ПК.»
В системном журнале Windows данная ошибка выделена с кодом 789: Ошибка 789: Попытка L2TP-подключения не удалась из-за ошибки, произошедшей на уровне безопасности во время согласований с удаленным компьютером.
Первый способ. Как решить ошибку подключения VPN.
Во-первых, удаляем обновления с компьютера.
1. Можно сделать удаление через Панель управления. Перейдите Панель управления -Программы и компоненты — Просмотр установленных обновлений — перейдите к списку установленных обновлений, выберите KB5009566 (для Windows 11) или KB5009543 (для Windows 10) и нажмите «Удалить».
Среди прочего, рассмотрите удаление других проблемных обновлений — KB5009624, KB5009557, KB5009555, KB5009566 и KB5009543. После удаления обновлений обязательно перезагрузите ПК.
2. Так же можно удалить обновления через командную строку Windows. Запустите командную строку от имени администратора и выполните команду на удаление сбойного KB (например, KB5009453 — указываете номер KB для вашей версии ОС):
wusa /uninstall /kb:5009543
Номера пакетов:
Windows 10 — KB5009543 (wusa /uninstall /kb:5009543);
Windows 11 — KB5009566 (wusa /uninstall /kb:5009566);
Windows Server 2012 R2 — KB5009624 (wusa /uninstall /kb:5009624);
Windows Server 2019 — KB5009557 (wusa /uninstall /kb:5009557);
Windows Server 2022 — KB5009555 (wusa /uninstall /kb:5009555).
Второй способ. Ошибка 789 VPN.
Запретите использование IPsec (Internet Protocol Security) через реестр. Запустите редактор реестра, перейдите в раздел [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Rasman\Parameters] и добавьте параметр «ProhibitIpSec» = 1 (REG_DWORD). После внесения изменений перезагрузите ПК.
Третий способ. Ошибка L2TP-VPN подключения.
Установите новые обновления, которые исправляют ошибку.
Что бы узнать версию Windows введите в командной строке команду:
winver
В открывшемся окне найдите строку Версия и в соответствии с информацией ниже установите обновление.
Список опубликованных обновлений:
- Windows 11, версия 21H2 (первоначальный выпуск) — KB5010795;
- Windows Server 2022 — KB5010796;
- Windows 10, версия 21H2 — KB5010793;
- Windows 10, версия 21H1 — KB5010793;
- Windows 10, версия 20H2, Windows Server, версия 20H2 — KB5010793;
- Windows 10, версия 20H1 — KB5010793;
- Windows 10, версия 1909 — KB5010792;
- Windows 10, версия 1607, Windows Server 2016 — KB5010790;
- Windows 10, версия 1507 — KB5010789;
- Windows 7 SP1, Windows Server 2008 SP2 — KB5010798;
- Windows Server 2008 — KB5010799;
- Windows 8.1, Windows Server 2012 R2 — KB5010794;
- Windows Server 2012 — KB5010797.
Четвертый способ. Не подключается VPN.
Снова откройте редактор реестра, перейдите в раздел [HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Rasman\Parameters]. Создайте или измените параметр AllowL2TPWeakCrypto на значение 1. Это значение ослабляет уровень шифрования, но может вам помочь. Для L2TP/IPSec используются алгоритмы MD5 и DES.
Пятый способ. Не работает VPN.
Если все способы выше не помогли, то возможно требуется выполнить «сброс сети» . Для этого переходим в «Параметры» — «Сеть и интернет» — слева в меню выбираем «Состояние». В основном окне, в самом низу нажимаем «Сброс сети».
Напишите в комментариях, какой способ вам помог.
Всем привет! Сегодня наткнулся на проблему – при подключении к интернету Beeline вылезает ошибка 789 с текстом: «Удалённый компьютер не отвечает». Мне удалось найти решение, поэтому я и написал эту статью. Суть проблемы – чаще всего эта ошибка возникает из-за проблем подключения к удаленному серверу из-за казуса с безопасностью и шифрованием при использовании коннекта L2TP/IPSec. Напомню, что это один из протоколов шифрования для подключения по каналу к VPN.
Как итог, если у вас на компьютере неправильно установлены конфигурации двух ключей в реестре. Эти ключи нужны для правильного подключения к L2TP. И тут есть несколько вариантов, или у вас этих ключей нет – может вирус покуролесил, или какая-то программа. Или они после обновления изменились, но это можно исправить. Второй вариант, что у вас заблокирован UDP порт 1701 или 500 – эти порты также используются для связи.
Содержание
- ШАГ 1: Открытие порта
- ШАГ 2: Исправление реестра
- Не помогло
- Задать вопрос автору статьи
ШАГ 1: Открытие порта
Во многих статьях, начинается описание с изменения параметров ключей реестра. Но мы сначала откроем порт 1701 и 500, проверим подключение, а уже потом приступим к изменению конфига реестра. Если мы сначала будем пробовать менять реестр, а потом откроем порт, то нам потом опять придется идти в реестр, а это лишнее время. В общем для начала пробуем открыть порт.
- Нам нужно открыть «Панель управления». В Windows 7 утилита находится сразу в «Пуск», в 10-ке можно найти её через поиск.
- Откройте «Брандмауэр Защитника Windows».
- «Доп. параметры».
- Правой кнопкой мыши по правилам для входящего подключения и создаем новое правило.
- «Для порта».
- Выбираем «UDP». Вообще используется порт 1701, но иногда возникает проблема с портом 500 – поэтому вписываем их через запятую.
- Разрешить подключение.
- Тут ничего не меняем.
- В конце обязательно напишите имя, чтобы не потерять параметр.
- То же самое правило создаем для исходящего подключения.
Проверяем подключение. Скорее всего ошибка возникнет вновь – это нормально, теперь переходим к следующему шагу. В любом случае теперь мы уверены, что порт открыт.
ШАГ 2: Исправление реестра
- Откройте редактор реестра – это можно сделать двумя способами. Вы можете найти данное приложение через поиск по названию или использовать сокращение:
regedit
- В той же десятке домашней версии иногда бывает баг, что приложение не находится. Тогда находим на клавиатуре клавиши и R, нажимаем одновременно. После этого вылезет окошко, куда нужно вписать аналогичную короткую команду, английскими буквами.
- Теперь внимательно проходим по пути от самого корня «HKEY_LOCAL_MACHINE». Далее переходим в «System» и находим подраздел «CurrentControlSet», там находим папку «Services». Останется перейти сначала в «Rasman» и открыть последнюю папку «Parameters».
- Нас интересует два ключа. Первый «ProhibitIpSec» – этот параметр разрешает или запрещает локальную политику IP безопасности и шифрования. Второй «AllowL2TPWeakCrypto» – на самом деле его в самом начале пока не будем трогать и оставим со значением по умолчанию. У некоторых параметра «ProhibitIpSec» может и не быть. Поэтому создаем его – кликаем правой кнопкой мыши по свободной области. Выбираем «Создать» – «Параметр DWORD (32 бита)». ProhibitIpSec
- Создастся параметр, который нужно переименовать в «ProhibitIpSec». Открываем двойным щелчком ЛКМ и устанавливаем значение один (1).
- Кликаем по кнопке «ОК». Перезагружаем компьютер и проверяем подключение.
Если ошибка остается, то делаем следующее. Если параметр «AllowL2TPWeakCrypto» есть, то меняем ему значение с нуля (0) на единицу (1) или наоборот. Если такого параметра нет, то создаем новый «DWORD» и пробуем два значения ноль (0) и единица (1). Если оба варианта не дадут результата, то измените параметр «ProhibitIpSec» на ноль (0).
Почему я не могу вам сказать точные значения параметра? – все дело в том, что тут все зависит от того, какое шифрование использует конечный сервер, к которому вы подключаетесь. Если сервер использует шифрованный канал, то нужно, чтобы стояло значение 1, если нет, то 0. И это я говорю только про параметр «AllowL2TPWeakCrypt». Если сервер применяет параметры проверки IP Sec, то нужен второй параметр, который мы ранее создали.
И как итог, нужно будет пробовать 4 разных варианта. Но об этом вы не узнаете, и лучше проверить все опытным путем. Я понимаю, что это немного неудобно, но только так вы сможете понять, какой тип подключения используется сервером, к которому вы подключаетесь.
Параметр «AllowL2TPWeakCrypt» используется для шифрования «Message Digest 5 (MD5)» и «DES (Encryption Standard)». Он используется для туннелирования IPSec. По умолчанию в некоторых версиях виндовс он выключен. А вот используется ли он на сервере? – никто вам не ответит, поэтому тут нужно проверять оба параметра.
Например, у Билайн не используется шифрование, а вот если вы подключаетесь к корпоративной сети, то там обязательно должен быть включен IPSec. После каждого изменения нужно перезагружать систему, чтобы значения реестра вступили в силу.
Не помогло
Если ничего из вышеперечисленного не помогло, то пробуем несколько вариантов.
- Если ошибка возникла внезапно, то пробуем откатить операционную систему, через средства восстановления, которые находятся в «Панели управления».
- Пробуем почистить комп от вирусов.
- Чистим комп от различного мусора и исправляем баги реестра – об этом подробно написано тут.
- Звоним провайдеру или обращаемся к системному администратору сети, который заведует подключением к VPN. Возможно есть какие-то определенные параметры, которые нам нужны.
В этой статье мы рассмотрим типовые причины ошибок при подключении к L2TP/IPSec VPN серверу с клиентов Windows 10/11 и Windows Server 2019/2016. Если вы не можете установить L2TP VPN подключение к Windows, внимательно посмотрите на код и описание ошибки. Там часто указывается причина ошибки.
Содержание:
- Не удается установить связь между компьютером и VPN сервером L2TP/IPScec
- Разрешить подключение к L2TP/IPSec VPN серверу за NAT
- Подключение L2TP не удалось из-за ошибки согласования безопасности
Не удается установить связь между компьютером и VPN сервером L2TP/IPScec
При попытке установить соединение из клиента Windows к L2TP VPN серверу появляется ошибка:
Can’t connect to ваше_L2TP_IPSec_VPN_подключение The network connection between your computer and the VPN server could not be established because the remote server is not responding. This could be because one of the network devices (e.g. firewalls, NAT, routers, etc) between your computer and the remote server is not configured to allow VPN connections. Please contact your Administrator or your service provider to determine which device may be causing the problem.
Не удалось установить связь по сети между компьютером и VPN-сервером, так как удаленный сервер не отвечает. Возможная причина: одно из сетевых устройств (таких как брандмауэры, NAT, маршрутизаторы и т.п.) между компьютером и удаленным сервером не настроено для разрешения VPN-подключений. Чтобы определить, какое устройство вызывает эту проблему, обратитесь к администратору или поставщику услуг.
Чаще всего при этом появляются следующие коды ошибок: 800, 794 или 809.
Если появилась такая ошибка, нужно проверить что вы указали правильный адрес VPN сервера, VPN сервер доступен и в файерволах открыты все необходимые порты.
Для доступа к L2TP/IPsec VPN сервере должны быть открыты следующие порты:
- UDP порт 1701 (Layer 2 Forwarding Protocol (L2F) & Layer 2 Tunneling Protocol (L2TP))
- UDP порт 500 (IKE, для управления ключами шифрования)
- Протокол ESP 50 (Encapsulating Security Payload) для IPSec
- Если VPN сервер находится за NAT, нужно дополнительно открыть UDP порт 4500 (протокол NAT-T, IPSec Network Address Translator Traversal)
Для подключения к L2TP VPN серверу можно использовать встроенный VPN клиент Windows. Проверьте настройки вашего VPN подключения. Убедитесь, что для VPN подключения используется туннель L2tp и pre-shared key (PSK)/сертификат для аутентификации. Настройки VPN подключения можно вывести с помощью PowerShell:
Get-VpnConnection
Разрешить подключение к L2TP/IPSec VPN серверу за NAT
Если целевой L2TP VPN сервер находится за NAT, то с настройками по-умолчанию вы не сможете установить подключение к нему с компьютера Windows. Дело в том, что протокол IPsec не поддерживает NAT. Для обхода этого ограничения используется протокол NAT-T, который инкапсулирует пакеты IPsec в UDP/4500.
IPSec использует протокол ESP (Encapsulating Security Payload) для шифрования пакетов, а протокол ESP не поддерживает PAT/ Port Address Translation.
NAT-T включен по-умолчанию почти во всех операционных системах (iOS, Android, Linux), кроме Windows.
Если VPN сервер L2TP/IPsec находится за NAT, то для корректного подключения внешних клиентов через NAT необходимо как на сервере, так и на клиенте Windows внести изменение в реестр, разрешающее UDP инкапсуляцию пакетов для L2TP и поддержку (NAT-T) для IPsec.
- Откройте редактор реестра
regedit.exe
и перейдите в ветку:- Для Windows 10,8.1,7 и Windows Server 2016,2012R2,2008R2 — HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent
- Для Windows XP/Windows Server 2003 — HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\IPSec
- Создайте DWORD параметр с именем AssumeUDPEncapsulationContextOnSendRule и значением 2;
Примечание. Возможные значения параметра AssumeUDPEncapsulationContextOnSendRule:
- 0 – (значение по-умолчанию), предполагается, что VPN сервер подключен к интернету без NAT;
- 1 – VPN сервер находится за NAT;
- 2 — и VPN сервер и клиент находятся за NAT.
- Осталось перезагрузить компьютер и убедиться, что VPN туннель успешно создается.
Если и Windows VPN сервер и клиент находятся за NAT, нужно изменить это параметре на обоих системах.
Можно использовать командлет PowerShell для внесения изменений в реестр:
Set-ItemProperty -Path "HKLM:SYSTEM\CurrentControlSet\Services\PolicyAgent" -Name "AssumeUDPEncapsulationContextOnSendRule" -Type DWORD -Value 2 –Force
После включения поддержки NAT-T, вы сможете успешно подключаться к VPN серверу с клиента через NAT (в том числе двойной NAT). В этом случае при установлении L2TP/IPsec подключения сначала создается зашифрованный IPsec-канал (используется протокол IKE: UDP/500 и NAT-T: UDP/4500). После этого уже внутри IPsec поднимается туннель L2TP на порт 1701 UDP. Это означает, что, если VPN сервер находится за NAT, вам не нужно пробрасывать на него порт 1701 UDP с внешнего роутера/маршрутизатора.
Подключение L2TP не удалось из-за ошибки согласования безопасности
Есть еще один интересный баг. Если в вашей локальной сети несколько Windows компьютеров, вы не сможете установить более одного одновременного подключения к внешнему L2TP/IPSec VPN серверу. Если при наличии активного VPN туннеля с одного клиента, вы попытаетесь подключиться к тому же самому VPN серверу с другого компьютера, появится ошибка с кодом 809 или 789:
Error 789: The L2TP connection attempt failed because the security layer encountered a processing error during initial negotiations with the remove computer.
Попытка L2TP-подключения не удалась из-за ошибки, произошедшей на уровне безопасности во время согласований с удаленным компьютером. (Ошибка 789)
Что интересно, эта проблема наблюдется только с Windows-устройствами. На устройствах с Linux/MacOS/Android в этой же локальной сети таких проблем нет. Можно без проблем одновременно подключиться к VPN L2TP серверу с нескольких устройств.
По информации на TechNet проблема связана с некорректной реализацией клиента L2TP/IPSec клиента в Windows (не исправляется уже много лет).
Для исправления этого бага нужно изменить два параметра реестра в ветке HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\Parameters и перезагрузите компьютре:
- AllowL2TPWeakCrypto – изменить на 00000001 (ослабляет уровень шифрования, для L2TP/IPSec используются алгоритмы MD5 и DES)
- ProhibitIPSec – изменить на 00000000 (включает шифрование IPsec, которое часто отключается некоторыми VPN клиентами или утилитами)
Для изменения этих параметров реестра достаточно выполнить команды:
reg add "HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Rasman\Parameters" /v AllowL2TPWeakCrypto /t REG_DWORD /d 1 /f
reg add "HKEY_LOCAL_MACHINE\System\CurrentControlSet\Services\Rasman\Parameters" /v ProhibitIpSec /t REG_DWORD /d 0 /f
Это включает поддержку нескольких одновременных L2TP/IPSec-подключений в Windows через общий внешний IP адрес (работает на всех версиях, начиная с Windows XP и заканчивая Windows 10/11).
Еще несколько советов, которые помогут вам исправить проблему с L2TP VPN подключением в Windows