VPN Error 789 เกิดจากอะไรและแก้ไขอย่างไร

Error 789 ฟังดูเหมือนคำเตือนคลุมเครือเรื่องความปลอดภัย และในทางหนึ่งก็เป็นเช่นนั้น Windows แจ้งว่าความพยายามเชื่อมต่อ L2TP ล้มเหลว เพราะชั้นความปลอดภัยเจอข้อผิดพลาดในการประมวลผลระหว่างการเจรจาเริ่มต้นกับคอมพิวเตอร์ปลายทาง พูดให้ง่ายคือ สองฝั่งเริ่มคุยกันแบบมีการป้องกัน แต่ตั้งกติกาของการคุยนั้นไม่เสร็จ

คู่มือนี้เดินคนละเส้นกับรายการข้อผิดพลาดทั่วไป เราเริ่มจากสิ่งที่กำลังถูกเจรจาจริง ๆ เพราะเมื่อรู้ขั้นตอนแล้วจะเห็นว่าขั้นไหนล้มและทำไม จากนั้นไล่ตัวการที่พบบ่อยตามลำดับที่สมเหตุสมผล คือ ประเภทการเชื่อมต่อ คีย์ร่วม นาฬิกา บริการของ Windows ซอฟต์แวร์ที่ตกค้าง และเส้นทางเครือข่าย ถ้าอยากเห็นภาพรวมของ 809, 789 และ 691 เคียงกัน ดูข้อผิดพลาด VPN บน Windows ที่พบบ่อย บทความนี้อยู่กับ 789 เท่านั้น

ข้อความนี้หมายความว่าอะไรแบบภาษาง่าย ๆ

Error 789 เกี่ยวข้องกับการเชื่อมต่อ L2TP ที่ใช้ IPsec เป็นตัวป้องกันเป็นส่วนใหญ่ Windows แสดงข้อความนี้เมื่อส่วน IPsec ของการจับมือพัง มันไม่ได้แปลว่าเซิร์ฟเวอร์เข้าถึงไม่ได้ ซึ่งเป็นเรื่องของ Error 809 และไม่ได้แปลว่าบัญชีของคุณถูกปฏิเสธ ซึ่งเป็น Error 691 มันเป็นความล้มเหลวกึ่งกลางทาง คือสองฝั่งหากันเจอ เริ่มคุยกัน แล้วตกลงกันไม่ได้

ลองนึกถึงคนสองคนที่นัดเซ็นสัญญากันในห้องปิดสนิท ขั้นแรกต้องยืนยันตัวตนของกันและกัน แล้วตกลงภาษาและกุญแจที่จะใช้ Error 789 เหมือนความล้มเหลวในช่วงนี้ คือการตรวจตัวตนไม่ผ่าน ภาษาที่ตกลงไม่ตรงกัน หรือมีใครตัดสายกลางประโยค ขั้นตอนชื่อผู้ใช้และรหัสผ่านเกิดหลังจากช่วงนี้เท่านั้น นี่คือเหตุผลที่รหัสผ่านผิดจะปรากฏทีหลังและเป็นข้อความอีกแบบ

ในการเจรจา Windows กับเซิร์ฟเวอร์ตกลงอะไรกันก่อน

คุณไม่ต้องท่องมาตรฐาน แต่แผนที่คร่าว ๆ ช่วยได้ กรอบ IPsec ที่อธิบายใน RFC 4301 และการแลกเปลี่ยนคีย์ที่มันอาศัย ซึ่งอธิบายใน RFC 7296 มีขั้นตอนดังนี้

1. สองฝั่งประกาศสิ่งที่รองรับ เช่น วิธีเข้ารหัสและการตรวจความสมบูรณ์ แล้วเลือกชุดที่ทั้งคู่รู้จัก
2. พิสูจน์ว่าตัวเองคือใคร ในรูปแบบ L2TP ที่ผู้ใช้ทั่วไปพบ จะใช้คีย์ร่วม (pre-shared key) ซึ่งเป็นสายอักขระลับที่ทั้งสองฝั่งต้องถืออยู่เหมือนกันทุกตัว ในระบบของบริษัทอาจใช้ใบรับรองแทน
3. สร้างคีย์สำหรับเซสชัน และตั้งช่องทางที่ป้องกันไว้
4. หลังจากนั้นเท่านั้น อุโมงค์ L2TP จึงเริ่ม และต่อมาจึงตรวจชื่อผู้ใช้และรหัสผ่าน

แต่ละขั้นมีวิธีล้มเหลวตามปกติของมัน

ขั้นตอน	ต้องมีอะไร	ความล้มเหลวที่พบบ่อย	ผลลัพธ์
ประกาศและตกลง	วิธีที่รองรับตรงกัน	เลือกประเภทการเชื่อมต่อผิด	789
พิสูจน์ตัวตน	คีย์ร่วมเหมือนกันทุกตัว หรือใบรับรองที่ใช้ได้	พิมพ์คีย์ผิด ใบรับรองผิดหรือไม่มี นาฬิกาผิดจนใบรับรองใช้ไม่ได้	789
สร้างคีย์	ทราฟฟิกของทั้งสองฝั่งมาถึง	เราเตอร์หรือไฟร์วอลล์ทิ้งทราฟฟิก UDP กลางทาง	789 หรือ 809
บริการ	ส่วนประกอบ IPsec ของ Windows ทำงานอยู่	บริการหยุดหรือถูกปิด	789
การรบกวน	ไม่มีซอฟต์แวร์อื่นจัดการทราฟฟิกเดียวกัน	ไดรเวอร์ VPN เก่าหรือตัวกรองของซอฟต์แวร์ความปลอดภัย	789

สังเกตว่านาฬิกาและเครือข่ายก็เข้ามาเกี่ยวด้วย นั่นคือเหตุผลที่ข้อผิดพลาดนี้ให้ผลดีกับการตรวจเป็นลำดับอย่างมีระบบ มากกว่าการหาวิธีวิเศษเพียงอย่างเดียว

ขั้นที่ 1 ยืนยันประเภทการเชื่อมต่อ

คำถามแรกสุดคือคุณเลือกประเภท VPN ถูกหรือไม่ ความไม่ตรงกันตรงนี้เป็นสาเหตุที่พบบ่อยที่สุดข้อหนึ่งของ 789 เพราะเซิร์ฟเวอร์ที่คาดหวังประเภทหนึ่งแต่ได้รับอีกประเภท จะเดินการจับมือต่อไม่ได้

1. เปิด Settings > Network & internet > VPN
2. เลือกการเชื่อมต่อของคุณ แล้วเลือก Advanced options > Edit
3. เทียบ VPN type กับที่หน้าบัญชีของคุณระบุ ถ้าหน้านั้นระบุวิธีใด ให้เลือกวิธีนั้น ถ้าไม่ได้ระบุ ให้เลือก Automatic
4. บันทึกแล้วลองใหม่

อย่าเลือกประเภทเพียงเพราะกระทู้ในเว็บบอร์ดแนะนำ บริการของคุณเป็นผู้กำหนดว่ารองรับอะไร ประเภทที่ไม่ได้เปิดให้ใช้จะล้มเหลวอย่างงงงวย ถ้าอยากเข้าใจแนวคิดของประเภทเพิ่ม บทความโปรโตคอล VPNอ่านได้ไม่นาน

ขั้นที่ 2 ตรวจคีย์ร่วมทีละตัวอักษร

ถ้าการเชื่อมต่อของคุณใช้คีย์ร่วม นี่คือสาเหตุอันดับสองที่เป็นไปได้ คีย์ต้องตรงกันทุกตัวทั้งสองฝั่ง รวมถึงตัวพิมพ์ใหญ่ และ Windows เก็บมันไว้โดยไม่บอกคุณว่าผิด ความผิดพลาดที่พบบ่อย

• ตัวอักษรหน้าตาคล้ายกัน ตัว O พิมพ์ใหญ่กับเลข 0, ตัว l พิมพ์เล็ก, ตัว I พิมพ์ใหญ่ และเลข 1 ให้คัดลอกแทนการพิมพ์ใหม่
• ช่องว่างที่มองไม่เห็น คีย์ที่วางมาจากอีเมลหรือแอปแชตอาจติดช่องว่างที่หัวหรือท้าย
• เครื่องหมายอัตโนมัติ บางแอปเปลี่ยนเครื่องหมายคำพูดหรือขีดตรง ๆ ให้เป็นแบบโค้งหรือยาวกว่า ซึ่งเป็นอักขระคนละตัว
• คีย์เก่า ถ้าการตั้งค่าครั้งก่อนใช้คีย์ต่างออกไป และคุณแก้รายการเดิมแทนที่จะสร้างใหม่ ค่าเก่าอาจค้างอยู่

วิธีเช็กสิ่งที่คัดลอกมาอย่างสะดวกคือวางลง Notepad ก่อนและอ่านด้วยตัวอักษรขนาดใหญ่ทีละตัว จากนั้นวางลงในรายการของ Windows จากแหล่งเดียวกัน อย่าพึ่งความจำหรือภาพหน้าจอ ให้คัดลอกตรงจากหน้าบัญชี

ในหน้าแก้ไข VPN ของ Windows คีย์จะใส่ในช่องที่ปรากฏเมื่อเลือกประเภท L2TP/IPsec แบบ pre-shared key ถ้าไม่เห็นช่องนั้น ประเภทที่เลือกไม่ใช้คีย์ ซึ่งอาจเป็นความไม่ตรงกันนั่นเอง ใส่คีย์เฉพาะเมื่อหน้าบัญชีของคุณให้คีย์มา

ขั้นที่ 3 แก้นาฬิกาก่อนทำอะไรซับซ้อน

ชั้นความปลอดภัยใส่ใจเรื่องเวลามากกว่าที่คนส่วนใหญ่คิด ใบรับรองมีวันเริ่มและวันสิ้นสุด และการแลกเปลี่ยนคีย์มีการประทับเวลา นาฬิกาเครื่องที่เดินเพี้ยน เขตเวลาผิด หรือแบตเตอรี่ CMOS หมดหลังไม่ได้เปิดเครื่องนาน อาจทำให้การตรวจล้มเหลวอย่างเงียบ ๆ

1. ไปที่ Settings > Time & language > Date & time
2. เปิด Set time automatically และ Set time zone automatically
3. เลือก Sync now ในการตั้งค่าเพิ่มเติม
4. ดูผล เวลาควรตรงกับโทรศัพท์ภายในหนึ่งนาทีหรือใกล้เคียง

ขั้นนี้ใช้เวลาหนึ่งนาทีและไม่มีค่าใช้จ่าย ถ้าเพิ่งเดินทางและตั้งเขตเวลาเองด้วยมือ ให้เปลี่ยนกลับเป็นอัตโนมัติ เพราะเขตเวลาที่ตั้งเองมักทำให้นาฬิกาคลาดเคลื่อนเป็นชั่วโมง

ขั้นที่ 4 ให้แน่ใจว่าบริการความปลอดภัยของ Windows ทำงานอยู่

ส่วน IPsec พึ่งพาบริการเบื้องหลังสองตัว ในการติดตั้งตามค่าเริ่มต้นมันเริ่มเอง แต่เครื่องมือปรับแต่งหรือซอฟต์แวร์ความปลอดภัยบางตัวปิดมันไว้

1. กดปุ่ม Windows พิมพ์ Services แล้วเปิด
2. หา IKE and AuthIP IPsec Keying Modules สถานะควรเป็น Running และประเภทการเริ่มต้นควรเป็น Manual (Trigger Start) หรือ Automatic
3. หา IPsec Policy Agent แล้วตรวจแบบเดียวกัน
4. ถ้าตัวใดหยุดอยู่ ให้คลิกขวาแล้วเลือก Start ถ้าประเภทการเริ่มต้นเป็น Disabled ให้เปลี่ยนเป็น Manual หรือ Automatic ก่อน แล้วค่อยสั่ง Start
5. รีสตาร์ตเครื่องแล้วทดสอบอีกครั้ง

ถ้าคุณดูแลเครื่องของบริษัท นโยบายอาจปิดมันไว้โดยตั้งใจ อย่าแก้บริการเหล่านี้บนโน้ตบุ๊กที่ทำงานโดยไม่ถามฝ่ายไอทีก่อน

ขั้นที่ 5 ล้างของตกค้างจากซอฟต์แวร์ VPN เก่า

ไคลเอนต์ VPN รุ่นเก่าบางครั้งทิ้งไดรเวอร์และตัวกรองเครือข่ายไว้ ซึ่งยังคงดักทราฟฟิกอยู่แม้โปรแกรมดูเหมือนหายไปแล้ว นี่เป็นสาเหตุที่รู้จักกันดีของ 789 บนเครื่องที่ลองเครื่องมือ VPN มาหลายตัวตลอดหลายปี

• เปิด Settings > Apps > Installed apps แล้วถอนโปรแกรม VPN ที่ไม่ได้ใช้แล้ว
• เปิด Device Manager เลือก View > Show hidden devices แล้วดูใต้ Network adapters ว่ามีอะแดปเตอร์เสมือนค้างจากเครื่องมือที่ถอนไปหรือไม่ ลบเฉพาะรายการที่ชัดเจนว่าเป็นของซอฟต์แวร์เก่า และเว้นรายการ WAN Miniport ที่ Windows จัดการเอง
• รีสตาร์ต

พิจารณาชุดโปรแกรมความปลอดภัยที่มีตัวกรองเครือข่ายของตัวเองด้วย ถ้าหยุดมันชั่วคราวแล้วผลเปลี่ยน ให้เพิ่มรายการอนุญาตสำหรับ VPN แทนการปล่อยปิดการป้องกันไว้

ขั้นที่ 6 เส้นทางเครือข่ายและ NAT

การเจรจา IPsec โดยทั่วไปใช้ทราฟฟิก UDP ที่พอร์ต 500 และ 4500 เมื่อฝั่งหนึ่งอยู่หลังการแปลงที่อยู่ (NAT) แพ็กเก็ต IPsec จะถูกห่อให้เดินทางผ่านได้ เรียกว่า NAT traversal เราเตอร์และเครือข่ายบางแห่งจัดการเรื่องนี้ไม่ดีหรือบล็อกไว้

การทดสอบเร็ว ๆ ที่ไม่ต้องมีความรู้เทคนิค

1. ลองฮอตสปอตจากโทรศัพท์ ถ้า VPN ต่อได้ที่นั่น แปลว่าเครือข่ายปกติของคุณคือปัญหา เช็กลิสต์ทั่วไปใน VPN เชื่อมต่อไม่ได้ ใช้แนวคิดเดียวกันคือลองเส้นทางอื่น
2. รีสตาร์ตเราเตอร์ และถ้ามีเราเตอร์สองตัวต่อกัน ให้เสียบเครื่องเข้ากับตัวแรกเพื่อตัดการแปลงออกหนึ่งชั้น
3. ตรวจเครือข่ายสาธารณะ เครือข่ายโรงแรม โรงเรียน และออฟฟิศมักกรองทุกอย่างที่นอกเหนือจากทราฟฟิกเว็บ ถ้าคุณอยู่ที่นั่น 789 อาจเป็นอาการของการกรองนั้น

บนเครือข่ายที่มีผู้ดูแล ให้ถามผู้ดูแลแทนที่จะพยายามหาทางอ้อม ถ้าฮอตสปอตใช้ได้แต่เครือข่ายบ้านใช้ไม่ได้ ให้โฟกัสที่เราเตอร์หรือผู้ให้บริการ ไม่ใช่ Windows

จดบันทึกการเปลี่ยนทีละอย่าง

Error 789 ชวนให้ลองมั่ว ๆ ทำให้ไม่รู้ว่าอะไรช่วยได้ ให้ใช้ตารางบันทึกเล็ก ๆ แบบนี้ในแอปโน้ต และเปลี่ยนแค่อย่างเดียวต่อแถว

ครั้งที่	สิ่งที่เปลี่ยน	เครือข่าย	ผล
1	ตั้งประเภทตามที่หน้าบัญชีระบุ	Wi-Fi บ้าน	ยังขึ้น 789
2	คัดลอกคีย์ร่วมใหม่	Wi-Fi บ้าน	ยังขึ้น 789
3	ซิงก์นาฬิกา	Wi-Fi บ้าน	ยังขึ้น 789
4	เริ่มบริการ IPsec ทั้งสองตัว	Wi-Fi บ้าน	ยังขึ้น 789
5	ตั้งค่าเดิมทั้งหมด	ฮอตสปอตโทรศัพท์	เชื่อมต่อได้

ในตัวอย่างสมมตินี้ แถวที่ 5 บอกว่าเครื่องและการตั้งค่าไม่มีปัญหา ปัญหาอยู่ที่เครือข่ายบ้านหรือเราเตอร์ ช่วยประหยัดเวลาหลายชั่วโมงที่อาจเสียไปกับการแก้ผิดจุด และบันทึกแบบนี้ก็คือสิ่งที่ฝ่ายสนับสนุนอยากอ่านพอดี

เมื่อการเปลี่ยนวิธีเชื่อมต่อคือคำตอบ และสิ่งที่ควรบอกฝ่ายสนับสนุน

ถ้าทุกขั้นข้างบนผ่านหมดแล้วข้อผิดพลาดยังเกิดซ้ำบนเครือข่ายเดิม เครือข่ายนั้นอาจรองรับทราฟฟิกประเภทนี้ได้ไม่ดี ถ้าหน้าบัญชีของคุณระบุวิธีอื่นที่รองรับ คุณลองได้ ให้ใช้เฉพาะวิธีที่หน้าบัญชีระบุ อย่าคิดค่าตั้งเอง และคงค่าเริ่มต้นของแอปไว้ เว้นแต่ฝ่ายสนับสนุนแนะนำให้เปลี่ยน แอป VPNclient ฟรีที่หน้าดาวน์โหลดเป็นอีกทางหนึ่งไปสู่บัตรผ่านเดียวกัน และแสดงข้อความของตัวเองแทนรหัสตัวเลข

ถ้ายังไม่ได้ ส่งอีเมลถึง xpassvpn@gmail.com พร้อมหมายเลขข้อผิดพลาด รุ่น Windows ประเภทที่เลือก เครือข่ายที่ทดสอบพร้อมผล และอีเมลที่ใช้ตอนชำระเงิน อย่าส่งรหัสผ่านหรือคีย์ร่วมเป็นข้อความธรรมดา ฝ่ายสนับสนุนดูคำสั่งซื้อได้โดยไม่ต้องใช้ และถ้าไม่แน่ใจว่าข้อมูลของคุณอยู่ที่ไหน อ่านหาข้อมูลล็อกอินได้ที่ไหน

สรุป

Error 789 คือการจับมือด้านความปลอดภัยล้มเหลว ไม่ใช่ล็อกอินล้มเหลว ให้ไล่ตามลำดับนี้ ยืนยันประเภทการเชื่อมต่อ คัดลอกคีย์ร่วมใหม่ ซิงก์นาฬิกา ตรวจบริการ IPsec สองตัว ล้างซอฟต์แวร์ VPN ที่ตกค้าง แล้วจึงทดสอบเครือข่ายอื่น เปลี่ยนทีละอย่างและจดบันทึก ถ้าไม่ได้ผลบนทุกเครือข่าย ติดต่อฝ่ายสนับสนุนพร้อมบันทึกของคุณ และถ้าต้องต่ออายุบัตรผ่านก่อน ดูตัวเลือกได้ที่หน้าราคา