عیب‌یابی مشکلات اتصال L2TP و OpenVPN؛ راهنمای کامل رفع خطا

وقتی پای کار اتصال امن به یک آی پی ثابت می‌رسد، کمتر چیزی به اندازه‌ی یک خطای l2tp سرسخت یا توقف ناگهانی OpenVPN حین برقراری تونل، آدم را کلافه می‌کند. شما همه‌چیز را درست وارد کرده‌اید، اما پیام خطا روی صفحه ظاهر می‌شود و اتصال هرگز کامل نمی‌شود. خبر خوب این است که اغلب این مشکلات ریشه‌ای مشخص و قابل حل دارند؛ از تنظیمات نادرست رجیستری ویندوز گرفته تا بلاک‌شدن پورت‌ها روی مودم یا منقضی‌شدن گواهی. در این راهنما، گام‌به‌گام و بدون حاشیه، رایج‌ترین مشکلات این دو پروتکل را کالبدشکافی می‌کنیم و برای هرکدام راه‌حل عملی و آزموده‌شده ارائه می‌دهیم تا بتوانید در کمترین زمان به اتصال پایدار برسید.

چرا اتصال برقرار نمی‌شود؟ ریشه‌های اصلی خطا

پیش از پریدن به سراغ راه‌حل‌ها، بهتر است بدانید مشکلات اتصال L2TP و OpenVPN معمولاً از چند منبع مشخص سرچشمه می‌گیرند. شناخت این منابع کمک می‌کند سریع‌تر به دلیل واقعی خطا برسید و وقت‌تان را روی راه‌حل‌های بی‌ربط هدر ندهید.

• سمت شبکه: پورت‌های موردنیاز پروتکل روی مودم، فایروال یا اپراتور بسته شده‌اند یا فیلتر می‌شوند.
• سمت احراز هویت: نام کاربری، رمز عبور، کلید مشترک (Pre-Shared Key) یا گواهی اشتباه یا منقضی است.
• سمت سیستم‌عامل: تنظیمات رجیستری، نسخه‌ی درایور یا سرویس‌های ویندوز به‌درستی پیکربندی نشده‌اند.
• سمت سرور: سرور مقصد در دسترس نیست یا کانفیگ ارائه‌شده با سرور هماهنگ نیست.

در ادامه هر دو پروتکل را جداگانه بررسی می‌کنیم، چون منطق عیب‌یابی هرکدام تفاوت‌های مهمی دارد.

خطای 809 در L2TP؛ شایع‌ترین دردسر و رفع آن

اگر هنگام اتصال L2TP/IPSec در ویندوز با پیام error 809 روبه‌رو شده‌اید، تنها نیستید؛ این خطا پرتکرارترین مشکل این پروتکل است. مفهوم آن این است که اتصال شبکه بین رایانه‌ی شما و سرور VPN به‌دلیل عبور از یک دستگاه میانی (مثل مودم NAT یا فایروال) که ترافیک L2TP را مسدود می‌کند، برقرار نشد. دلیل فنی معمولاً نبود پشتیبانی صحیح از NAT-T در ویندوز است.

برای رفع این خطا، رایج‌ترین و مؤثرترین راه ویرایش رجیستری است:

• کلید Win + R را بزنید، عبارت regedit را تایپ کنید و وارد ویرایشگر رجیستری شوید.
• به مسیر HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\PolicyAgent بروید.
• یک مقدار جدید از نوع DWORD (32-bit) با نام AssumeUDPEncapsulationContextOnSendRule بسازید.
• مقدار آن را روی 2 تنظیم کنید (یعنی هم کلاینت و هم سرور پشت NAT هستند).
• سیستم را ری‌استارت کنید و دوباره اتصال را امتحان کنید.

در بیشتر موارد همین تغییر، خطای 809 را برطرف می‌کند. اگر باز هم مشکل پابرجا بود، احتمال دارد پورت‌ها سمت مودم بسته باشند که در بخش بعد به آن می‌پردازیم.

پورت‌ها و کلید مشترک در L2TP/IPSec

پروتکل L2TP به‌تنهایی رمزنگاری ندارد و همیشه همراه IPSec کار می‌کند؛ به همین دلیل به چند پورت مشخص نیاز دارد که اگر مسدود باشند، اتصال هرگز کامل نمی‌شود. مطمئن شوید پورت‌های زیر روی مودم و فایروال شما باز هستند:

• UDP 500 برای فاز ابتدایی تبادل کلید (IKE).
• UDP 4500 برای عبور از NAT (NAT-T).
• UDP 1701 برای خود تونل L2TP.
• پروتکل ESP (شماره 50) که باید در فایروال اجازه داده شود.

یکی دیگر از دلایل پرتکرار شکست اتصال، اشتباه‌بودن Pre-Shared Key است. این کلید باید دقیقاً همان مقداری باشد که سرویس‌دهنده در اختیارتان گذاشته؛ حتی یک فاصله یا حرف بزرگ و کوچک اشتباه، باعث خطای احراز هویت می‌شود. هنگام خرید پلن‌های آی پی ثابت نت‌باز، کلید مشترک و مشخصات اتصال به‌صورت دقیق و آماده در اختیارتان قرار می‌گیرد تا این دست از خطاها به حداقل برسد. اگر در مرحله‌ی پیکربندی دستی به مشکل خوردید، صفحه‌ی آموزش اتصال مرحله‌به‌مرحله شما را همراهی می‌کند.

مشکلات گواهی و کانفیگ در OpenVPN

وقتی صحبت از مشکل openvpn می‌شود، بخش بزرگی از خطاها به فایل کانفیگ (با پسوند ovpn) و گواهی‌ها برمی‌گردد. برخلاف L2TP که در خود ویندوز تعریف می‌شود، OpenVPN به یک کلاینت اختصاصی و یک فایل کانفیگ سالم نیاز دارد. رایج‌ترین خطاها در لاگ کلاینت عبارت‌اند از:

• TLS handshake failed: کلاینت نمی‌تواند با سرور دست بدهد؛ معمولاً نشانه‌ی بسته‌بودن پورت، اشتباه‌بودن آدرس سرور یا ناهماهنگی پروتکل (UDP در برابر TCP) است.
• certificate has expired یا VERIFY ERROR: گواهی منقضی شده یا تاریخ و ساعت سیستم شما اشتباه است. ابتدا ساعت ویندوز را با اینترنت همگام کنید.
• AUTH_FAILED: نام کاربری یا رمز عبور نادرست است یا اشتراک شما منقضی شده.
• Cannot load certificate file: فایل‌های گواهی در کنار فایل ovpn قرار ندارند یا مسیرشان در کانفیگ اشتباه است.

برای رفع این مشکلات، همیشه از آخرین نسخه‌ی OpenVPN Connect یا OpenVPN GUI استفاده کنید، فایل کانفیگ تازه و کامل را دوباره وارد (Import) کنید و مطمئن شوید همه‌ی فایل‌های پیوست در یک پوشه هستند یا گواهی‌ها به‌صورت inline داخل خود فایل ovpn جاسازی شده‌اند.

عبور OpenVPN از فیلترینگ و مشکلات شبکه

OpenVPN انعطاف زیادی در انتخاب پورت و پروتکل دارد و همین ویژگی، آن را در عیب‌یابی شبکه قدرتمند می‌کند. اگر اتصال شما مدام در مرحله‌ی handshake گیر می‌کند یا بعد از چند ثانیه قطع می‌شود، این راهکارها را امتحان کنید:

• تغییر از UDP به TCP: برخی شبکه‌ها ترافیک UDP را محدود یا کند می‌کنند. کانفیگ TCP معمولاً پایدارتر است، هرچند کمی کندتر.
• استفاده از پورت 443: این پورت همان پورت ترافیک امن وب است و در عمل تقریباً همه‌جا باز است؛ به همین دلیل عبور از فیلترینگ را آسان‌تر می‌کند.
• بررسی DNS و MTU: اگر اتصال برقرار می‌شود اما سایت‌ها باز نمی‌شوند، مشکل از DNS است. کاهش مقدار MTU نیز در شبکه‌های ناپایدار به برقراری اتصال کمک می‌کند.
• غیرفعال‌کردن موقت آنتی‌ویروس یا فایروال: برخی نرم‌افزارهای امنیتی ترافیک VPN را سد می‌کنند؛ برای تست، آن‌ها را موقتاً خاموش کنید.

اگر همه‌ی این موارد را بررسی کردید و باز هم اتصال برقرار نشد، احتمال دارد مشکل از سمت کانفیگ یا سرور باشد که در این صورت دریافت یک کانفیگ تازه و سالم از سرویس‌دهنده، سریع‌ترین راه‌حل است.

چک‌لیست سریع برای رفع خطای اتصال

برای اینکه عیب‌یابی منظم و سریع پیش برود، این چک‌لیست را به‌ترتیب اجرا کنید. تجربه نشان داده بیش از ۸۰ درصد مشکلات اتصال با همین چند گام برطرف می‌شوند:

• ۱. صحت نام کاربری، رمز عبور و کلید مشترک را دقیق بازبینی کنید.
• ۲. تاریخ و ساعت سیستم را با اینترنت همگام کنید (به‌ویژه برای OpenVPN).
• ۳. برای L2TP، مقدار رجیستری AssumeUDPEncapsulationContextOnSendRule را روی ۲ تنظیم کنید.
• ۴. پورت‌های موردنیاز پروتکل را روی مودم و فایروال باز کنید.
• ۵. آنتی‌ویروس و فایروال را موقتاً خاموش و دوباره تست کنید.
• ۶. برای OpenVPN، کانفیگ TCP روی پورت ۴۴۳ را امتحان کنید.
• ۷. اتصال را روی یک شبکه‌ی دیگر (مثلاً هات‌اسپات موبایل) آزمایش کنید تا مشخص شود مشکل از اپراتور است یا نه.

اگر پس از طی این مراحل همچنان به نتیجه نرسیدید، بهترین کار تماس با پشتیبانی سرویس‌دهنده‌ی شماست. یک سرویس‌دهنده‌ی حرفه‌ای می‌تواند با بررسی لاگ سرور، دلیل دقیق رفع خطای اتصال را پیدا کند و کانفیگ سالم جایگزین ارائه دهد.

پرسش‌های متداول

چرا با وجود وارد کردن صحیح اطلاعات، خطای 809 در L2TP می‌گیرم؟

خطای 809 معمولاً به وجود NAT و نبود تنظیم NAT-T در ویندوز مربوط است، نه به اشتباه‌بودن اطلاعات. با ساختن مقدار AssumeUDPEncapsulationContextOnSendRule در رجیستری و قرار دادن آن روی ۲ و سپس ری‌استارت سیستم، در بیشتر موارد این خطا برطرف می‌شود.

تفاوت اصلی عیب‌یابی L2TP و OpenVPN چیست؟

L2TP در خود ویندوز تعریف می‌شود و مشکلاتش بیشتر به رجیستری، پورت‌ها و کلید مشترک برمی‌گردد. OpenVPN به کلاینت اختصاصی و فایل کانفیگ نیاز دارد و خطاهایش معمولاً در لاگ کلاینت دیده می‌شوند و به گواهی، پورت و پروتکل (UDP/TCP) مربوط‌اند.

اتصال OpenVPN برقرار می‌شود اما اینترنت کار نمی‌کند، مشکل از کجاست؟

این حالت معمولاً نشانه‌ی مشکل DNS یا MTU است. تنظیم یک DNS معتبر در کانفیگ و کاهش مقدار MTU اغلب مشکل را حل می‌کند. همچنین مطمئن شوید مسیر پیش‌فرض (redirect-gateway) در کانفیگ فعال است.

چطور بفهمم مشکل از اپراتور اینترنت من است یا از سرویس VPN؟

ساده‌ترین راه، تست اتصال روی یک شبکه‌ی متفاوت مانند هات‌اسپات موبایل با اپراتور دیگر است. اگر روی شبکه‌ی دوم اتصال برقرار شد، مشکل از فیلترینگ یا محدودیت اپراتور اول است و تغییر پروتکل یا پورت می‌تواند کمک کند.

آیا خرید آی پی ثابت آماده، احتمال این خطاها را کم می‌کند؟

بله. با تهیه‌ی پلن آماده‌ی نت‌باز، مشخصات اتصال، کلید مشترک و کانفیگ سالم به‌صورت آماده و تست‌شده در اختیارتان قرار می‌گیرد و بسیاری از خطاهای ناشی از پیکربندی دستی حذف می‌شود. در صورت بروز مشکل نیز پشتیبانی اختصاصی همراه شماست.