VPN连接出现错误721的解决方法和有关VPN连接的15项问题 诊断提示

VPN连接出现错误721的解决方法
默认分类 2008-01-04 21:42
在使用VPN软件连接时，VPN代理正常，但连接不上，提示721错误时的解决方法
建立 VPN 连接时收到“Error 721”错误信息假如 您尝试通过使用点对点隧道协议 (PPTP) 客户端建立与虚拟专用网络 (VPN) 连接，与VPN远程访问服务器的连接可能不成功。您可能会收到以下错误信息。
客户机拨VPN出现721错误的解决方法 ：
局域网中的机器有的可以访问VPN服务器，有的不能，认真 检查，发现出问题的机器是打了SP2补丁。
解决方法 如下(摘自微软网站)：
以下操作均在客户机上
1. 单击“开始”，然后单击“运行”。
2. 在“打开”框中，键入 regedit，然后单击“确定”。
3. 在注册表编辑器中，找到以下子项
HKEY_LOCAL_MACHINESYSTEMCurrentControlSetControlClass{4D36E972-E325-11CE-BFC1-08002bE10318}
其中  是 WAN 微型端口 (PPTP) 驱动程序的网络适配器。
4. 在“编辑”菜单上，指向“新建”，然后单击“DWORD 值”。
5. 键入 ValidateAddress，然后按 Enter。该值的默认设置为“1”（打开）；因而 ，您可以通过将其设置为“0”将其关闭。
6. 退出注册表编辑器。
7. 重新启动计算机。
有关VPN连接的15项问题 诊断提示
Paula Sharick
本页主要标题：
VPN服务器建议
客户端问题 诊断
最终准备就绪
您可以通过无数种方式构建虚拟专用网络。最低限度的VPN实现计划 由连接Internet的RAS PPTP服务器、连接Internet的客户端以及位于上述服务器与客户端之间的PPTP连接所组成。只需 ISP服务或Internet连接处于可用状态，客户端即可从世界上的任意一个角落与您的服务器建立连接。但是 ，大多数VPN并非仅仅由互相 连接的服务器与客户端构成。通常状况 下，VPN服务器位于一个可以实现路由的LAN网段上，并处在防火墙前方 ；客户端连接则使用一个同样包含路由器与防火墙的ISP网络。图1显示了一种常见的移动客户端VPN实现计划 。
您只需通过几个简单步骤即可以独立服务器或域控制器的方式创建一台PPTP服务器。您需要. 安装RAS和PPTP协议 ，并依照 配置拨号连接的方式来配置PPTP端口。Windows NT客户端安装过程同样相当直接：您只需装载PPTP并配置通过Internet与PPTP服务器相连的PPTP连接。由于安装方式如此简单，您自然会觉得 VPN连接将一次调试通过。但是 ，实际状况 却是，VPN连接在某些状况 下仍旧需要. 进行调节。
VPN问题 诊断与WAN连通性问题 诊断十分 类似 ，由于数据在抵达 目的地之前需要. 在许多连接上进行传送，因而 ，整个处理过程相当复杂。举例来说，通常状况 下，数据需要. 通过防火墙、ISP网络甚至其它ISP网络从客户端传送至ISP路由器，再由ISP路由器依次传送至企业路由器、防火墙或代理服务器，并最终抵达 目的 PPTP服务器。
当客户端与某个ISP建立连接时（这种连接使用VPN连接中的点对点协议 --PPP--部分），ISP将为客户端分配一个TCP/IP地址、一个DNS服务器地址以及一个缺省网关。当客户端发起一个PPTP连接时，这项操作将创建第二个TCP/IP会话（这个会话是VPN连接的隧道部分），并将其嵌入到用以提供数据包加密与封装功能的第一个会话内部。当客户端连接成功后，VPN服务器将为客户端分配第二个IP地址、第二个DNS服务器地址、可选WINS服务器以及另一个缺省网关。图2显示了组成PPTP会话的两部分内容--PPP连接和PPTP连接。在连接中的每一条链接上，均有可能出现问题 。理解 常见配置与连通性问题并控制 必要的问题 诊断操作步骤将帮助您对VPN连接进行解译与调试。
VPN服务器建议
假如 可能的话，请从一台装有最低限度服务且仅含TCP/IP与PPTP协议 的NT服务器开始。NT 4.0 Service Packs 5（SP5）与SP6a修正了大量有关PPTP连接的问题，其中包括与碎片数据包、被丢弃的连接以及被回绝 的连接相关的性能问题。假如 在尝试对客户端连接进行调试之前首先应用 服务软件包对服务器进行更新，那么，您将可以 节省大量时间。为帮助您保持简单直接的服务器配置，以便实现问题 诊断目的，我将为您提供四条建议。
配置一台多宿主服务器：假如 您的PPTP服务器装备 了两块网卡，一块针对LAN，一块针对WAN，那么，请将LAN适配器上的网关设置为空（请注意，这里要求设置为空而非设置为0）。在WAN网络接口的网关字段中输入ISP所定义的TCP/IP地址；网关地址通常指向ISP所属的一台路由器。您需要. 保持LAN网关设置为空，以便使服务器可以 将网络数据包路由至客户端。当您为服务器配置多个网络适配器时，保持LAN网关设置为空是一种标准实现方式。如需获取更多有关如何为多宿主服务器配置路由方式的信息，请查看“原先发布的相关文章”中的第XX页。在测试过程中，我建议您手工输入LAN NIC的TCP/IP地址与WINS服务器地址（而不要通过DHCP为其分配这些取值）。
配置RAS：当您安装RAS时，请仅为那些真正需要. 提供支持的活动客户端连接配置必要数量的VPN端口。虽然 每台RAS服务器可以 支持256条并行连接（假定 您具有 足够支持一切 这些活动的网络带宽），但是 ，在实际应用过程中，您可能只需要. 为您的遨游 用户提供40条并行连接。接下来，将服务器配置为通过静态地址池而非DHCP服务器来分配客户端地址。假如 您将RAS配置为从静态地址池中分配客户端地址，那么，客户端将从RAS服务器继承DNS与WINS设置。假如 您的RAS服务器可以 浏览网络，那么，客户端同样可以应用 相同的设置来浏览网络。
假如 您倾向于使用DHCP，请确保DHCP范围选项44（WINS/NetBIOS称号 服务器）指向WINS服务器且范围选项6显示您的DNS服务器地址。假如 未能定义这些选项，那么，您将简直 肯定会在客户端浏览过程中遇到问题。
启用PPTP过滤功能：由于可以避免测试与调试链中的某个连接被防火墙删除，因而 ，同对处在防火墙内部的服务器进行测试相比，对处于防火墙外部的VPN服务器进行配置与测试要容易得多。假如 在具备高度安全性的环境中运行服务器，您便可以放心的将服务器置于防火墙外部并将允许进入的独一 VPN通讯 内容限制为PPTP数据包。如屏幕快照1所显示的那样，如需从控制面板中启用PPTP过滤功能，请依次选择“网络”、“协议 ”、“TCP/IP协议 ”、“WAN适配器”、“高级”，并选中“启用PPTP过滤功能”复选框。当您启用PPTP过滤器后，服务器回绝 一切 非PPTP恳求 。我曾经对这项特性进行过特地 测试，事实证明，这是一种可以 对进入VPN连接会话加以限制的有效方式。PPTP过滤功能具有一个重要的反作用 ：当您启用过滤功能后，由于其阻挠 了进入的HTTP与FTP通讯 内容，LAN客户端将无法通过RAS服务器的WAN连接对Internet进行浏览。
假如 希望VPN服务器将允许进入的数据包限制为PPTP数据包并托管一个可以通过Internet进行访问的Web站点，那么，您需要. 对注册表进行修改以便允许其它数据包通过过滤接口进入本地系统。前往HKEY_LOCAL_MACHINE SYSTEM CurrentControlSet Services RASPPTPF Parameters注册表键，添加名为AllowPacketsForLocalMachine且数据类型为REG_DWORD的记录项，并将其取值设置为1。当完成此项修改后，RAS服务器将暴露在Internet上，但是 进入VPN服务器的连接将遭到 限制，这样一来，远程客户端将无法看到网络上的任何其它资源。
使用防火墙端口：在将VPN服务器置于防火墙前方 之前，请首先确认您的防火墙软件可以 接纳 PPTP数据包。当您通过网络地址转换（NAT）对防火墙进行配置时，防火墙软件包（包括某些支持检查点软件技术的FireWall-1版本）在某些状况 下可能无法承受 PPTP连接。这种状况 下，尝试与RAS服务器建立连接的客户端将报出一条事情 编号为721的错误音讯 --PPP远端未能响应。当您将VPN服务器置于防火墙前方 时，请确保启用编号为47的IP协议 端口（通用路由封装--GRE）和以及编号为1723的TCP端口。VPN连接使用1723端口完成诸如PPTP隧道创建、维护与终止之类的日常管理工作。47端口则用于在客户端与服务器（包含GRE协议 ）之间传送隧道数据，假如 您希望支持RAS服务器对服务器VPN连接，则同样需要. 建立编号为1723的TCP端口。
在尝试与VPN客户端建立连接之前，请首先对通讯 双方NIC上的服务器TCP/IP设置进行验证，并确保您的RAS服务器可以 执行一切 典型网络操作（例如浏览LAN、连接LAN资源、连接Internet或浏览Internet等）。尔后 ，请针对您的测试帐号启用拨号权限。另外，您可能还需要. 在最初测试过程中启用PPP日志功能。

客户端问题 诊断
为确保操作成功，PPTP客户端必须正确维护两套TCP/IP协议 栈设置：其中一套面向于ISP与Internet连接，另一套面向于VPN服务器连接，具体状况 如图[ghost win7纯净版] 2所示[win7旗舰版系统下载] 。客户端路由表同样必须包含两条记录：其中一条担任 将网络数据包定向至提供Internet浏览服务的ISP，另一条指向用于实现LAN浏览的VPN服务器接口。当协议 栈设置不正确时，客户端将会遇到严重问题。通常状况 下，NT客户端维护独立的TCP/IP协议 栈设置，但是 ，当同时装备 网卡和调制解调器时，Windows 95客户端则会经常出现协议 栈设置问题。在建立PPTP连接后，Windows 9x缺省网关可能仍旧指向ISP，从而使客户端无法成功浏览LAN。下面，让我们来看一看五种最为常见的客户端连接问题。
客户端无法连接PPTP服务器：您可能遇到的第一种问题是客户端无法连接到PPTP服务器。此时，您需要. 对以下三种可能导致这种问题的要素 进行查看。
建立VPN服务器Internet连通性。在完成客户端配置工作后，您需要. 验证VPN服务用具 备一条Internet连接。验证这种连接的最简单方式是从设置服务器TCP/IP地址的客户端上对服务器执行ping操作。（假如 您的PPTP服务器位于防火墙前方 且防火墙被设置为阻止Internet控制音讯 协议 --ICMP--ping音讯 ，那么，这种验证方式将无法使用。）假如 ping指令显示音讯 恳求 超时，则说明服务器Internet连接可能存在某种问题。假如 服务器通过地址进行相应，您可以在DUN记录的电话号码字段中输入TCP/IP地址以便建立PPTP会话。虽然 与通过全面验证的域名（FQDN）相比有些不够友好，这项技术在您知道服务器地址的状况 下仍旧十分 有效。
需要. 注意的是，使用拨号连接的服务器很有可能在每次与ISP建立连接时取得 不同的地址。如需通过地址进行连接，您必须理解 服务器每次建立拨号连接时由ISP所分配的地址。通常状况 下，您的RAS服务器将使用一个永世 地址，从而消弭 了连接过程中的一项细微可变要素 。
假如 服务器通过地址进行响应，请继续使用称号 对其执行ping操作。假如 服务器无法通过称号 进行响应，原因可能有两种：服务器可能不具备注册域名，或者您的ISP DNS服务器可能处于停机状态或无法正常工作。
查看PPTP过滤功能。当服务器上的PPTP过滤功能处于启用状态时，您可能会看到音讯 “错误678：无法应对 ”或“错误650：远程访问服务器无法响应”。此时，请在服务器上禁用PPTP过滤功能（Net Stop RASPPTPF），并查看是否可以建立非过滤连接。
假如 可以 在过滤功能处于禁用状态的状况 下建立连接，请检查服务器的过滤器设置。假如 您禁用了编号为137和138的UPD端口或者编号为139的TCP端口，NetBIOS数据包将无法通过网络。对于单播（点对点）通讯 过程，您同样需要. 在客户端与服务器之间的一切 防火墙与路由器上启用这些端口。
过滤GRE协议 。假如 服务器可以 通过地址和称号 进行响应但您仍旧无法建立连接，那么，您所使用的ISP路由器、内部路由器或防火墙可能过滤掉了GRE数据包。为建立一条PPTP隧道，客户端与服务器之间需要. 交流 GRE数据包，但是 ，由于需要. 在内部应用 GRE来管理路由器，某些ISP会禁用外部GRE数据包。虽然 GRE过滤功能并不常用，但他确实 可以 阻止PPTP连接，因而 ，请确保您在VPN连接两端均启用了编号为47的IP协议 端口（GRE）以及编号为1723的TCP端口。您可以应用 Microsoft网络监视器或其它类似的网络探测工具来确定GRE过滤功能是否被启用。如需获取更多关于如何在VPN连接期间对PPTP数据包进行监控的信息，请查看“原先发布的相关文章”中的第XX页。
客户端可以 连接但无法登录：您可能遇到的第二种问题是已经建立连接的客户端无法进行登录。此时，您需要. 对以下三种可能导致这种问题的要素 进行查看。
配置域和服务器帐号。您可以将RAS服务器配置为域控制器或独立系统。假如 您将服务器配置为域控制器，请确保用户的域帐号具备拨入权限。假如 服务器并非域控制器，缺省状况 下，RAS将通过本地SAM对客户端受权 凭证进行验证。用户可以通过两种方式在独立服务器上实现身份验证：应用 RAS服务器上的本地帐号或应用 强迫 服务器通过域SAM对证书进行验证的注册表项。无论采用何种方式，您所提供的帐号都必须具备拨入权限。
配置计算机帐号。假如 客户端为NT工作站或服务器，相应计算机必须在域中具有 一个帐号。假如 客户端是一套新的系统，则请在对连接进行测试之前首先在服务器管理器中创建一个新的计算机帐号。假如 客户端系统已经在网络上具有 一个帐号，但已有一个或多个星期不曾 进行连接，那么，计算机帐号口令可能不再与服务器保持同步。每个计算机帐号都有一个由PDC自动重置的隐藏口令，假如 系统长期处于脱机状态，PDC与客户端上的帐号口令将不再相同。通常状况 下，您可通过删除并重新添加这个帐号的方式解决这种问题。
协商客户端身份验证方式。RAS服务器可以通过三种不同身份验证协议 对PPTP用户进行身份验证。依照 由低到高的安全性顺序，这三种协议 分别是通过明文方式实现的口令身份验证协议 （PAP）、通过加密与Hash算法实现的质询式握手身份验证协议 （CHAP）以及通过加密和带有校验和的双重Hash算法实现的Microsoft质询式握手身份验证协议 （MSCHAP）。客户端与服务器通过协商方式确定的登录身份验证协议 取决于您在配置服务器进入端口与客户端PPTP连接网络设置时所选择的加密设置。服务器与客户端上具有 以下可用选项：
允许使用任意一种包含明文的身份验证方式。服务器将通过客户端所恳求 的协议 （例如PAP、CHAP或MSCHAP）来完成身份验证。
需要. 加密的身份验证方式，服务器将通过MSCHAP、数据加密标准（DES）或Shiva PAP（SPAP）来完成身份验证。
需要. Microsoft加密的身份验证方式。服务器只能通过MSCHAP实现身份验证。
从SP3开始，Microsoft引入了一种更为安全的MSCHAP版本，称为MSCHAP V2。您可以通过在服务器和Windows客户端上创建一条注册表项的方式来强迫 客户端仅仅使用MSCHAP V2执行身份验证。但是 ，当您执行此项修改操作时，那些不具备MSCHAP V2（一种专用Microsoft协议 ）支持能力的客户端将无法成功登录。因而 ，这种更改方式将使UNIX和Macintosh系统无法登录到您的VPN服务器上。
如需获取有关登录失败状况 的问题 诊断信息，请在用户管理器中启用登录审计功能并再次尝试建立连接。当您查看NT事情 查看器安全日志中所存储的记录时，您将可以 取得 相关障碍的明晰 描绘 信息。您可以看到用户称号 是否合法，口令是否错误或者已经过时 ，计算机是否短少 一个合法帐号以及是否不存在可用VPN端口。
当用户可以 成功登录后，应用程序事情 日志将记录登录的日期与时间。此外，您还将可以 在事情 日志中找到另一个用以记录用户注销时间和会话持续时间的事情 。
客户端可以 登录但无法浏览LAN：您还可能会遇到客户端可以 登录但无法浏览LAN的状况 。如需对这种问题进行问题 诊断，请确保已在一切 Windows 9x客户端上将工作组设置为目的 NT域的称号 。接下来，假如 客户端数量超越 15或20个节点，也有可能形成 客户端无法浏览，这是由于 通过低速拨号连接对大型网络进行浏览是一项极为艰难 的任务。在PPTP会话建立后预先定义或手工将统一命名标准 （UNC）连接映射到所需共享内容与资源是一项对于用户来说十分 友好的操作。最后，您还需要. 了解 四种TCP/IP设置如何对您的网络连接产生影响。（如需获取更多关于TCP/IP设置的信息，请查看工具条“重要客户端TCP/IP设置”。）当您需要. 为那些通过永世 高速连接在家中进行工作的用户提供支持时，远程LAN浏览将是一种可行计划 。在对这些组件进行检查并审核TCP/IP设置后，您便可以应用 以下项目对浏览问题施行 问题 诊断。
工具条1：重要客户端TCP/IP设置
面向VPN会话的TCP/IP设置将采用与面向LAN连接的TCP/IP设置相同的方式运行。如需对某种VPN施行 计划 进行问题 诊断，您应当首先了解 四种TCP/IP设置如何对网络连接与浏览方式产生影响：
DNS服务器：这种服务器可以 将通过全面验证的域名（FQDN，如www.win200mag.com）转换为相应的TCP/IP地址（如207.54.25.03）。当您具有 一台可以 正常工作的DNS服务器时，您的计算机将可以通过称号 方式来查询并连接其它计算机。当您不具备DNS服务器（或者DNS服务器无法正常工作）时，您将无法通过称号 方式与计算机建立连接。此时，您只能借助目的 计算机TCP/IP地址与其建立连接。
WINS服务器：这种服务器可以 将NetBIOS称号 转换为相应的TCP/IP地址。在Windows NT 4.0网络中，每台计算机都将通过WINS服务器或本地浏览器（假如 无可用WINS服务器）注册一个NetBIOS称号 。同时，每台计算机还将为其所发布的每个文件与打印共享注册一个NetBIOS称号 。假如 您的客户端已经分配了一台WINS服务器，且假定 您具有 所需的安全证书，那么，您将可以查看并连接网络上的共享打印机。假如 您的客户端尚未分配WINS服务器，那么，您将无法浏览网络邻居，但假如 您可以 手工输入统一命名标准 （UNC）称号 并且您的安全证书允许对共享资源进行访问，那么，您将可以同文件与打印共享资源建立连接。
DHCP服务器：这种服务器至少可以 在启动时为LAN客户端分配TCP/IP地址并在连接时为RAS客户端分配TCP/IP地址。如需将DHCP服务器配置为指派其它TCP/IP协议 栈设置内容，您可以定义针对域名、缺省网关、DNS服务器以及WINS服务器等信息的范围选项。
缺省网关：这种网关将在数据传输目的 为本地子网以外系统时通知计算机将数据发送至一台特定计算机或路由器。网关路由显示在Print Route命令输出结果中的表格首行内。
检查浏览方式。当您对网络甚至特定服务器进行浏览时，您经常会收到内容为“发作 53号系统错误”的音讯 。此时，网络路径将无法找到。无法进行浏览的状况 通常意味着客户端无法解析NetBIOS称号 。请确保已经为客户端指定了一台静态（在PPTP连接的网络设置中）或动态（针对一切 客户端使用Ipconfig命令或针对Windows 9x客户端使用Winipcfg命令）WINS服务器。假如 客户端不具备WINS服务器地址，请手工输入地址，重新建立连接并再次尝试进行浏览。
设置缺省网关。寻找针对PPTP连接的缺省网关设置或打印路由表（使用Route Print命令）。假如 网关仍旧指向ISP，那么，一切 浏览LAN的客户端恳求 都将前往ISP而非VPN连接，ISP可能会阻塞NetBIOS称号 播送 所使用的端口。需要. 注意的是，除非在编号为137和138的UDP端口以及编号为139的TCP端口上启用单播通讯 方式，否则，路由器与防火墙将禁止传送NetBIOS称号 。NetBIOS称号 为Microsoft专用，某些ISP可能不允许此类数据从他们的基础架构上流过。
您可以通过手工方式从路由表中删除路由记录并添加针对VPN服务器虚拟接口的静态路由记录。服务器虚拟接口是指分配给VPN接口的地址。这种地址要么是静态地址池中的第一个地址，要么是RAS服务器配置中的第一个可用DHCP地址。
启用NetBEUI。假如 您并非坚持要使用TCP/IP协议 ，那么，您一般状况 下总是可以 通过在RAS服务器和远程客户端上安装NetBEUI的方式来解决客户端浏览问题。为此，您只需在服务器的VPN端口上针对进入系统的连接启用NetBEUI，并在客户端PPTP连接当选 择NetBEUI复选框。尔后 ，您便可以在TCP/IP上应用 NetBEUI将客户端与服务器建立连接。虽然 如此，我们依然 无法回避基于NetBIOS的NT称号 空间固有限制。虽然 从技术角度考虑容易遭受攻击，但是 ，这种NetBEUI计划 可能是获取全面LAN浏览能力的最简单方式。
假如 在您尝试上述这些技术后客户端仍旧无法进行浏览，那么，请尝试通过客户端与某种网络共享资源建立连接。举例来说，您可以使用net use z: myservermyshare命令。在处于问题 诊断模式中时，通过手工方式与共享资源建立连接通常是一种允许用户访问文件及打印机的良好工作机制。
假如 仍旧无法进行浏览，您接下来需要. 审核VPN服务器配置。许多服务器上所出现的问题都会对客户端浏览产生影响，但由于篇幅所限，本文无法详细为您列出一切 潜在问题与解决计划 。通过在Microsoft知识库页面http://support.microsoft.com/search/default.as上搜索有关PPTP客户端浏览与多宿主浏览的信息，您将可以 发现许多十分 有用的链接。这种搜索将返回有关多宿主服务器与网络浏览问题（例如各个NIC上的浏览器无法交流 浏览列表）、PPTP连接以及WINS服务器位置等内容的文章列表。
已经建立连接的客户端无法浏览Internet：我曾经屡次 在同时安装网卡和调制解调器的Windows 95客户端上遇到过这种问题。当出现这种问题时，虽然 VPN会话处于活动状态，但客户端却无法浏览Internet。导致这种问题的常见原因有两种。首先，当远程客户端具备网络连接时，VPN服务器可能不允许远程客户端访问Internet。这种状况 下，当您关闭VPN连接后，由于缺省网关恢复为ISP所定义的网关，因而 ，客户端将可以 浏览Internet。其次，当客户端处于连接状态时，Windows 95可能会使用VPN服务器所定义的网关来掩盖 ISP网关，从而切断客户端访问Internet的路径。为解决这种问题，您可以通过手工方式面向ISP缺省网关添加代价为2（即首先尝试VPN网关，其次尝试ISP网关）的静态路由记录。
已经建立连接的客户端无法显示在网络邻居中：与我同事 过的一名网络工程师曾经遇到过客户端（即使 使用全功能VPN客户端连接）无法显示在LAN端网络邻居中的问题。您仅仅应用 TCP/IP协议 来配置客户端PPTP连接，同时通过VPN服务器建立连接并实现身份验证，尔后 ，客户端便可以浏览一切 LAN资源。当远程客户端展开网络邻居时，网络邻居将显示本身 系统以及浏览列表中的一切 其它客户端，但远程客户端却一直 无法显示在LAN上的网络邻居中。假如 希望远程客户端出现在LAN浏览列表中，您需要. 在RAS服务器与RAS客户端上安装NetBEUI。这种RAS所特有的一种奇异 问题，但目前这种问题尚无法得到有效解决。

最终准备就绪
我向您介绍了大多数常见的VPN配置与连接问题。现在，您已经控制 了许多问题 诊断技巧。这些技术非常 卓有成效 且极为盛行 ，当管理员在Windows 2000（Win2K）中应用 标准隧道协议 与IP安全性（IPSec）时，这些技术将被普遍 采用。需要. 注意的是，在学习这些技术的过程中，您应当做到由浅入深且一步一个足迹 。尔后 ，您便可以万事大吉 了。