Где может быть проблема
Любое VPN-подключение проходит четыре этапа: клиент находит сервер по имени или адресу, пакеты доходят до порта, стороны проверяют ключи или пароль, затем клиент получает адрес и маршруты в офисную сеть. Ошибка на каждом этапе выглядит по-своему, поэтому код ошибки — главная подсказка.
Если VPN не подключается ни у кого — проверьте интернет в офисе, роутер и срок действия сертификатов. Если у одного сотрудника — его учётную запись, ключ, домашнюю сеть и оператора связи. В отдельных сетях операторов соединения по некоторым протоколам могут работать нестабильно или блокироваться; быстрый тест — подключиться через другой канал, например мобильный интернет.
Ошибки встроенного VPN Windows
| Код | Значение | Что проверить |
|---|---|---|
| 691 | Сервер отклонил логин или пароль либо не совпадают протоколы проверки подлинности | Логин, срок пароля, блокировку учётной записи, разрешённые методы (MS-CHAP v2, EAP) на сервере |
| 800 | Не удалось установить соединение: сервер не отвечает | Адрес сервера, работу интернета в офисе, проброс портов и правила межсетевого экрана |
| 809 | Нет ответа от сервера L2TP/IPsec или IKEv2, часто из-за NAT | Открыты ли UDP 500 и 4500 на стороне офиса, поддержка NAT-T, параметр AssumeUDPEncapsulationContextOnSendRule на клиенте |
| 789 | Ошибка уровня безопасности L2TP при согласовании | Совпадение общего ключа (PSK) или сертификата, параметры шифрования на сервере |
| 868 | Не удалось определить адрес сервера по имени | DNS-запись сервера, правильность имени в настройках подключения |
| 13801, 13806 | Проблема с сертификатом IKEv2 | Срок действия, цепочку доверия и имя в сертификате сервера |
Протокол PPTP (ошибка 619 часто связана с ним) устарел и не обеспечивает надёжной защиты. Если он ещё используется, правильное решение — перейти на WireGuard, IKEv2 или OpenVPN, а не чинить PPTP.
WireGuard: нет «рукопожатия»
WireGuard не сообщает подробных ошибок: если что-то не так, подключение просто не устанавливается. Главный признак — время последнего рукопожатия (latest handshake). Если его нет, пакеты не доходят или ключи не совпадают.
# Linux-сервер
sudo wg show
# MikroTik RouterOS 7
/interface wireguard peers print detail- Открытый ключ клиента на сервере должен соответствовать закрытому ключу в конфигурации клиента — ошибка копирования встречается чаще всего.
- Порт WireGuard (UDP) должен быть разрешён во входящих правилах роутера офиса.
AllowedIPsна сервере для клиента — его адрес в туннеле, например10.10.10.2/32; на клиенте — офисные сети, которые нужно маршрутизировать.- Для клиентов за NAT добавьте
PersistentKeepalive = 25, иначе соединение «засыпает».
VPN подключён, но 1С и папки не открываются
Это отдельная и очень частая ситуация. Подключение установлено, но офисные ресурсы недоступны. Причины:
- Совпадают подсети. Дома и в офисе используется одна и та же сеть, например 192.168.1.0/24. Компьютер считает офисный сервер «своим» и не отправляет пакеты в туннель. Решение — перевести офисную сеть в менее распространённый диапазон (например, 10.20.0.0/24) при плановой перенастройке.
- Нет маршрута. Клиент получил адрес, но не знает, что офисная сеть находится за туннелем.
- DNS. По IP-адресу сервер открывается, по имени — нет. Клиенту нужен внутренний DNS-сервер офиса.
- Ограничения доступа. Правила роутера разрешают из VPN только определённые адреса и порты — это правильно, но список нужно поддерживать.
ipconfig /all # адрес, шлюз и DNS туннеля
route print # есть ли маршрут в офисную сеть
Test-NetConnection 10.20.0.10 -Port 445 # файловый сервер
nslookup srv-1c.office.localКак сделать VPN надёжным
- Персональный ключ или учётная запись на каждого сотрудника — тогда доступ уволенного отзывается за минуту, не трогая остальных.
- Мониторинг туннелей филиалов и срока действия сертификатов.
- Документированная схема: адреса, порты, кто ответственный, как выдать доступ новому сотруднику.
- Резервный канал интернета в офисе, если от VPN зависит работа филиалов.
Подробное сравнение протоколов — в материале «WireGuard, OpenVPN или IPsec». Настройка VPN для удалённой работы стоит от 4 000 ₽ в час, настройка MikroTik и Keenetic — от 4 000 ₽ в час. Пример — VPN между филиалами.
Частые вопросы
Почему VPN работает через мобильный интернет, а через домашний — нет?
Домашний роутер или провайдер может блокировать нужные порты или протокол, либо адреса домашней сети совпадают с офисными. Проверьте подсети и попробуйте другой протокол или порт.
Можно ли дать сотрудникам один общий пароль от VPN?
Не стоит. При увольнении любого сотрудника придётся менять доступ всем, а в журналах не видно, кто подключался. Используйте персональные учётные записи или ключи.
Какой VPN выбрать вместо PPTP?
Для удалённых сотрудников обычно подходят WireGuard или IKEv2, для филиалов — WireGuard или IPsec. Выбор зависит от оборудования и клиентских устройств.