Windows VPN 错误 789 的排查方法

错误 789 听起来像一条含糊的安全警告，某种程度上也确实如此。Windows 提示：L2TP 连接尝试失败，因为安全层在与远程计算机的初始协商中遇到了处理错误。用大白话说就是：双方开始了一次受保护的对话，却没能把对话的规则定下来。

本文走的路线和通用错误清单不同。我们先从“究竟在协商什么”讲起，因为一旦了解了步骤，你就能看出是哪一步失败、为什么失败。接着按合理的顺序排查常见原因：连接类型、共享密钥、时钟、Windows 服务、遗留软件和网络路径。如果想并排看 809、789、691 的总览，请见常见 Windows VPN 错误。本文只讲 789。

这条提示用大白话是什么意思

错误 789 主要出现在依赖 IPsec 保护的 L2TP 连接上。握手中 IPsec 的部分出了问题，Windows 就会显示它。它并不表示服务器连不上，那是错误 809 的范围；也不表示你的账号被拒绝，那是错误 691。它是处于两者之间的失败：双方找到了彼此，开始交谈，然后谈不拢了。

不妨想象两个人在一间封闭的房间里准备签合同。首先要确认彼此的身份，然后约定用什么语言、什么锁。错误 789 就像这个阶段出了问题：身份核验没通过，约定的语言对不上，或者有人在句子说到一半时切断了线路。用户名和密码这一步发生在这个阶段之后，所以密码错误出现得更晚，提示也不一样。

协商过程内部：Windows 和服务器先敲定了什么

你不需要背标准，但一张大致的地图很有帮助。RFC 4301 描述的 IPsec 框架，以及它所依赖、由 RFC 7296 描述的密钥交换，包含以下阶段：

1. 双方宣布各自支持什么，例如加密方式和完整性校验，然后选出双方都认识的组合。
2. 证明自己是谁。在普通用户常见的 L2TP 配置中，这通过预共享密钥完成，也就是双方必须一字不差地持有的一串秘密字符。企业环境可能改用证书。
3. 派生会话密钥，建立受保护的通道。
4. 到此为止才启动 L2TP 隧道，随后才检查用户名和密码。

每个阶段都有各自典型的失败方式。

阶段	需要什么	常见失败	结果
宣布并协商	双方支持的方式能匹配	选错了连接类型	789
证明身份	完全相同的共享密钥，或有效证书	密钥输错；证书错误或缺失；时钟错误导致证书失效	789
派生密钥	双方流量都能到达	路由器或防火墙在中途丢弃 UDP 流量	789 或 809
系统服务	Windows 上的 IPsec 组件在运行	服务已停止或被禁用	789
干扰	没有其他软件处理同样的流量	旧 VPN 驱动或安全软件的过滤器	789

注意时钟和网络也在其中。这正是为什么这个错误适合按顺序有条理地检查，而不是寻找一招制胜的办法。

第 1 步：确认连接类型

最先要问的是，你选的 VPN 类型对不对。这里的不匹配是 789 最常见的原因之一，因为期待某种类型的服务器收到另一种，就没法把握手进行下去。

1. 打开 设置 > 网络和 Internet > VPN。
2. 选中你的连接，选择 高级选项 > 编辑。
3. 把 VPN 类型 与你的账号页面所列的内容对照。如果页面指明了某种方式，就选它；如果没有指明，就选 自动。
4. 保存后再试一次。

不要仅仅因为网上论坛推荐就选某个类型。服务支持什么由服务方决定，选了它不提供的类型会以令人困惑的方式失败。如果想进一步了解“类型”的概念，VPN 协议是一篇很短的文章。

第 2 步：逐字符核对预共享密钥

如果你的连接使用预共享密钥，这是第二大可能原因。密钥在两端必须完全一致，包括大小写，而 Windows 保存它时不会告诉你是否有误。典型错误：

• 长得像的字符：大写字母 O 和数字 0，小写 l、大写 I 与数字 1。请复制，不要重新输入。
• 看不见的空格：从邮件或聊天软件粘贴的密钥，首尾可能带上空格。
• 智能标点：有些应用会把直引号或短横线替换成弯引号或更长的破折号，它们是不同的字符。
• 旧密钥：如果之前的设置用过不同的密钥，而你是编辑旧条目而不是重新创建，旧值可能还留着。

检查复制内容的一个好办法，是先粘贴到记事本里，把字号放大，逐个字符仔细看。然后再从同一来源粘贴到 Windows 条目里。不要凭记忆或截图，直接从账号页面复制。

在 Windows 的 VPN 编辑界面中，密钥填入的位置，是类型选为“带预共享密钥的 L2TP/IPsec”时出现的那个字段。如果看不到这个字段，说明你选的类型不使用密钥，这本身可能就是不匹配。只有账号页面给了你密钥，才需要填。

第 3 步：先修正时钟，再做复杂的事

安全层对时间的在意程度超出多数人的想象。证书有起止日期，密钥交换包含时间戳。电脑时钟走偏、时区错误，或者长时间断电后主板电池耗尽，都可能悄悄导致检查失败。

1. 打开 设置 > 时间和语言 > 日期和时间。
2. 打开 自动设置时间 和 自动设置时区。
3. 在“其他设置”下选择 立即同步。
4. 看看结果，应该与手机相差在一分钟左右。

这一步只要一分钟，也不花钱。如果你最近出行并手动改过时区，请改回自动，因为手动设定的时区常常导致时钟相差数小时。

第 4 步：确认 Windows 的安全服务在运行

IPsec 部分依赖两个后台服务。默认安装时它们会自行启动，但一些优化工具或安全软件会把它们禁用。

1. 按 Windows 键，输入 服务 并打开。
2. 找到 IKE and AuthIP IPsec Keying Modules。状态应为 正在运行，启动类型应为 手动（触发启动） 或 自动。
3. 找到 IPsec Policy Agent，做同样的检查。
4. 如果其中一个已停止，右键选择 启动。如果启动类型为 已禁用，先改为手动或自动，再启动。
5. 重启电脑后再测试。

如果这是公司管理的电脑，策略可能是有意把它们禁用的。未经询问 IT 部门，不要在工作笔记本上更改这些服务。

第 5 步：清除旧 VPN 软件的残留

旧的 VPN 客户端有时会遗留驱动和网络过滤器，即使程序看起来已经没有了，它们仍在拦截流量。对于这些年试过好几种 VPN 工具的电脑，这是 789 的一个众所周知的原因。

• 打开 设置 > 应用 > 已安装的应用，卸载不再使用的 VPN 程序。
• 打开 设备管理器，选择 查看 > 显示隐藏的设备，在 网络适配器 下查看是否有已卸载工具遗留的虚拟适配器。只删除明确属于旧软件的条目，保留由 Windows 管理的 WAN Miniport 条目。
• 重启。

还要考虑那些自带网络过滤器的安全套件。如果暂停它之后结果有变化，就为 VPN 添加放行条目，而不是一直关着保护。

第 6 步：网络路径与 NAT

IPsec 协商通常使用 500 和 4500 端口上的 UDP 流量。当一方位于地址转换（NAT）之后，IPsec 数据包会被封装以便穿过它，这个过程叫做 NAT 穿越。有些路由器和网络处理得不好，或者直接拦截。

不需要技术知识的快速测试：

1. 试试手机热点：如果 VPN 在那里能连上，说明你平时用的网络是问题所在。VPN 连接不上中的通用清单也采用了换一条路径测试的思路。
2. 重启路由器，如果你有两台路由器串联，把电脑插到第一台上，去掉一层 NAT。
3. 检查公共网络：酒店、学校和办公室的网络常过滤网页流量以外的一切。如果你在这些地方，789 可能就是这种过滤的症状。

在有管理者的网络上，请询问管理员，而不是试图绕过其设置。如果热点可以而家里的网络不行，重点就应放在路由器或服务商，而不是 Windows。

一次只改一项，并做记录

错误 789 容易让人乱试一通，结果不知道是什么起了作用。请在记事应用里用类似下面的小表格，每行只改一样东西。

次数	我改了什么	网络	结果
1	把类型设成账号页面所列的	家里 Wi-Fi	仍是 789
2	重新复制共享密钥	家里 Wi-Fi	仍是 789
3	同步时钟	家里 Wi-Fi	仍是 789
4	启动两个 IPsec 服务	家里 Wi-Fi	仍是 789
5	设置不变	手机热点	已连接

在这个虚构的例子里，第 5 行告诉你电脑和设置没问题，问题出在家里的网络或路由器，省下了在错误地方修改的好几个小时。这样的记录恰好也是客服最想看的内容。

何时换一种方式，以及该向客服说明什么

如果上面所有检查都通过，而错误在同一网络上不断重复，也许是该网络本身承载这类流量的能力不好。如果你的账号页面列出了另一种受支持的方式，可以试一试。只使用账号页面列出的方式，不要自己编造设置，并保持应用默认值，除非客服建议更改。下载页面上的免费 VPNclient 应用是使用同一通行证的另一条途径，它显示的是自己的提示，而不是编号代码。

如果仍然失败，请发邮件到 xpassvpn@gmail.com，写明错误编号、Windows 版本、所选类型、测试过的网络及各自结果，以及结账时使用的邮箱。切勿以明文发送密码或共享密钥，客服无需这些就能查看订单。如果不确定登录信息在哪里，请读在哪里找到登录信息。

总结

错误 789 是安全握手失败，而不是登录失败。请按这个顺序处理：确认连接类型、重新复制共享密钥、同步时钟、检查两个 IPsec 服务、清除遗留的 VPN 软件，然后换一个网络测试。一次只改一项并做好记录。如果在各个网络上都不行，请带着你的记录联系客服；如果通行证需要先续期，选项在价格页面。