يفشل L2TP/IPsec عند تعطيل خدمة IKEEXT

يصل أحد أجهزة الكمبيوتر المحمولة إلى بوابة IKEv2 لكنه يفشل مع بوابة L2TP/IPsec، و تظهر الرسالة قبل إرسال أي اسم مستخدم. الملف الشخصي عادةً هو أول المشتبه بهم وعادةً هو الخاطئ. يشغّل Windows تبادل مفاتيح IPsec داخل خدمة، وما دامت تلك الخدمة معطّلة فليس لدى العميل المدمج أي حزمة يتفاوض بها. تحقق من الخدمة قبل أن تلمس أي حقل من حقول الملف الشخصي، ثم اكتشف ما الذي عطّلها.

الخدمة التي تقف خلف الفشل

تنفّذ IKE and AuthIP IPsec Keying Modules، التي تظهر باسم IKEEXT في قائمة الخدمات، تبادل المفاتيح وتحتفظ بمقبسي UDP 500 و4500 في Windows. عطّلها فيفقد كل من L2TP/IPsec وIKEv2 مفاوضه، بينما يمكن أن يستمر PPTP وSSTP في العمل لأنهما لا يعتمدان عليها. هذا الانقسام هو سبب إبلاغ المستخدم بأن نوعًا من VPN يعمل وآخر ميت على الجهاز نفسه. الخدمة جزء من نظام التشغيل، لذا لا يمكن لأي إعداد في الملف الشخصي أن يحل محلها.

تحرير هذين المنفذين هو الأثر الجانبي الذي يولّد النصائح السيئة. تلاحظ أداة أو مشاركة في منتدى أن 500 و4500 مشغولان، فتوقف الخدمة لتحريرهما، وبذلك تزيل IPsec من المضيف بصمت. الأثران فعل واحد، لذا فأي دليل يوصي بتحرير المنفذين يصف مقايضة لا إصلاحًا.

أعد الخدمة دون تخمين

اسأل مدير الخدمات سؤالين: ما نوع بدء التشغيل، وما الحالة الحالية. يخبرك الأول ما إذا كانت الخدمة ستعود بعد إعادة التشغيل؛ ويخبرك الثاني ما إذا كانت تعمل الآن. نفّذ الاستعلامين من موجه أوامر مرتفع الصلاحية كي يتمكن الصدف نفسه من تغيير الإعداد بعد ذلك.

sc qc ikeext
sc query ikeext

يفسّر نوع البدء Disabled العَرَض كله، والحل هو إعادته إلى Automatic وبدء الخدمة. في وحدة تحكم Services يظهر الإدخال باسم العرض الخاص به، IKE and AuthIP IPsec Keying Modules، لذا فإن البحث عن IKEEXT في تلك القائمة لا يجد شيئًا. أعد التشغيل إذا كانت الخدمة قد بدأت فقط بعد أن كان اتصال فاشل قد جرى بالفعل، لأن حزمة مهيأة بهذا الترتيب قد تفشل بطرق تبدو غير ذات صلة.

sc config ikeext start= auto
net start ikeext

ما الذي يعطّلها مرة أخرى

بعض حزم VPN التابعة لجهات خارجية تأتي بتطبيق IPsec خاص بها وتعطّل IKEEXT أثناء التثبيت، وبعد ذلك يتوقف عميل Windows عن العمل. أدت إزالة المنتج الآخر إلى استعادة L2TP/IPsec على أجهزة لم تحقق فيها تعديلات الملف الشخصي شيئًا، وكذلك فعلت إعادة تثبيته دون المكوّن المتعارض. عُطّلت الخدمة وقت التثبيت، ولم يبدّلها المستخدم.

يمكن لنهج المجموعة أيضًا تثبيت نوع بدء التشغيل؛ وفي هذه الحالة يُتراجع عن أي تغيير محلي عند التحديث التالي، وعلى المسؤول المالك للنهج تغييره. سجّل نوع بدء التشغيل قبل إعادة التشغيل وبعدها وبعد تحديثات المنتج الآخر، مع التاريخ في كل مرة. القيمة التي تعود باستمرار إلى Disabled تكشف صاحبها من النمط لا من التخمين.

اقرأ المرحلة أولًا ثم السجل

ما دامت الخدمة تعمل، تحدد مرحلة الفشل أين تنظر بعد ذلك. التعطل أثناء IKE يعني عادةً أن UDP 500 أو 4500 لم يصل إلى الخادم قط، أو أن الخادم خلف NAT دون إعداد التغليف المطابق. الوصول إلى موجه بيانات الاعتماد والفشل هناك مشكلة مصادقة PPP وليست مشكلة IPsec. النفق الذي يرتفع ولا يصل إلى شيء هو خلل في التوجيه أو في النفق المنقسم، وأول هذه الثلاثة فقط يعيش في ملف VPN الشخصي.

تضيف ملفات التعريف ذات الشهادة مرحلة خاصة بها. يجب أن يثق العميل بجهة الإصدار وأن تسمّي الشهادة الخادم الذي يجري التحقق منه؛ وعندما يفشل أي من الشرطين يظل الحوار يبلّغ عن خطأ في التفاوض الأولي، لذا فسجل الأحداث هو المكان الذي يظهر فيه السبب الحقيقي. اقرأ إدخال السجل قبل تعديل الملف الشخصي، لأن الحوار يضغط عدة أعطال مختلفة في جملة واحدة. الشهادة المنتهية تنتج الحوار نفسه الذي ينتجه تعطيل الخدمة، ولهذا يهم إدخال السجل.

سجّل المرحلة الفاشلة ونص الخطأ والطابع الزمني لكل محاولة. تفصل هذه الحقول الثلاثة مشكلة الوصول عن مشكلة المصادقة وعن مشكلة التوجيه، وتجعل التغيير التالي قرارًا لا تخمينًا.

ما لا يمكن لإصلاح محلي أن يثبته

يعالج استعادة الخدمة نصف المسار الموجود على الكمبيوتر المحمول. الخدمة العاملة تثبت النصف المحلي فقط: يجب أن يقبل الطرف البعيد الاقتراح المختار وبيانات الاعتماد المقدمة وعنوان المصدر الذي تصل منه الحزمة. لا شيء يُفعل على الكمبيوتر المحمول يعوّض جدارًا ناريًا يرمي UDP 500 قبل أن يصل إلى النظير. حالة الخدمة الناجحة شرط مسبق وليست دليلًا على أن النفق سيرتفع.

تعطيل IKEEXT لتحرير المنفذين لا يمكن الدفاع عنه إلا إذا قبلت أن شبكات VPN العاملة عبر IPsec في Windows تتوقف عن العمل. فهو يحل تعارض منفذين بإزالة الميزة التي احتاجت المنفذ، وذلك نادرًا ما يكون المقايضة التي قصدها المستخدم. قبل تغيير أي شيء، أكّد أن الخدمة موجودة ومضبوطة على Automatic وتعمل، وأنه لا توجد حزمة IPsec ثانية مثبتة، وأن المفتاح المشترك مسبقًا أو سلسلة الشهادات تطابق البوابة.

• IKEEXT موجودة ومضبوطة على Automatic وتعمل قبل أن يتصل العميل.
• لا شيء آخر يحتجز UDP 500 أو 4500.
• لا تبقى حزمة IPsec ثانية من عميل قديم.
• المفتاح أو سلسلة الشهادات تطابق إعداد البوابة.
• سُجّلت المرحلة الفاشلة قبل تعديل الملف الشخصي.