L2TP/IPsec не працуе, калі служба IKEEXT адключана

Няма IKEEXT — няма IPsec: L2TP і IKEv2 церпяць няўдачу, тады як іншыя тыпы ўсё яшчэ падключаюцца. Праверце службу і затым высветліце, што яе адключыла, перш чым рэдагаваць профіль.

Адзін ноўтбук падключаецца да шлюза IKEv2, але церпіць няўдачу са шлюзам L2TP/IPsec, і памылка з'яўляецца да таго, як адпраўлена любое імя карыстальніка. Профіль звычайна першы падазроны і звычайна няправільны. Windows выконвае абмен ключамі IPsec у службе, і пакуль гэтая служба адключана, убудаваны кліент не мае стэка, з якім можна весці перамовы. Праверце службу, перш чым кранаць хоць адно поле профілю, і затым высветліце, што яе адключыла.

Служба, што стаіць за збоем

IKE and AuthIP IPsec Keying Modules, якая адлюстроўваецца ў спісе службаў як IKEEXT, выконвае абмен ключамі і ўтрымлівае сокеты UDP 500 і 4500 у Windows. Адключыце яе, і L2TP/IPsec і IKEv2 абодва губляюць свайго перамоўшчыка, тады як PPTP і SSTP могуць працягваць працаваць, бо ад яе не залежаць. Гэтае размеркаванне тлумачыць, чаму карыстальнік можа паведаміць, што адзін тып VPN працуе, а другі мёртвы на той жа машыне. Служба з'яўляецца часткай аперацыйнай сістэмы, таму ніякі параметр профілю не можа яе замяніць.

Вызваленне гэтых двух партоў — пабочны эфект, які спараджае дрэнныя парады. Інструмент або паведамленне на форуме заўважае, што 500 і 4500 занятыя, спыняе службу, каб іх вызваліць, і тым самым моўчкі выдаляе IPsec з вузла. Абодва эфекты — адно дзеянне, таму любы дапаможнік, які рэкамендуе ачысціць парты, апісвае абмен, а не рамонт.

Вярніце службу на месца без здагадак

Задайце дыспетчару службаў два пытанні: які тып запуску і які бягучы стан. Першае кажа, ці вернецца служба пасля перазагрузкі; другое — ці працуе яна зараз. Выканайце абодва запыты з каманднага радка з павышанымі правамі, каб той жа абалонка магла потым змяніць наладу.

sc qc ikeext
sc query ikeext

Тып запуску Disabled тлумачыць увесь сімптом, і рашэнне — вярнуць яго ў Automatic і запусціць службу. У кансолі «Службы» запіс адлюстроўваецца пад яго адлюстраваным імем IKE and AuthIP IPsec Keying Modules, таму пошук IKEEXT у гэтым спісе нічога не знаходзіць. Перазагрузіцеся, калі служба была запушчана ўжо пасля таго, як няўдалае падключэнне паспела адбыцца, бо стэк, ініцыялізаваны ў такім парадку, можа адмаўляць спосабамі, што здаюцца не звязанымі.

sc config ikeext start= auto
net start ikeext

Што зноў яе адключае

Некаторыя староннія VPN-пакеты пастаўляюць уласную рэалізацыю IPsec і адключаюць IKEEXT падчас усталявання, пасля чаго кліент Windows перастае працаваць. Выдаленне іншага прадукту аднавіла L2TP/IPsec на машынах, дзе рэдагаванне профілю нічога не давала, і тое ж зрабіла пераўсталяванне без канфліктнага кампанента. Служба была адключана падчас усталявання, а не пераключана карыстальнікам.

Групавая палітыка таксама можа замацаваць тып запуску; у гэтым выпадку лакальная змена адкочваецца падчас наступнага абнаўлення, і адміністратар, які валодае палітыкай, павінен яе змяніць. Запісвайце тып запуску да перазагрузкі, пасля перазагрузкі і пасля абнаўленняў іншага прадукту, кожны раз з датай. Значэнне, якое пастаянна вяртаецца да Disabled, выкрывае свайго ўладальніка па схеме, а не па здагадках.

Спачатку прачытайце этап, затым журнал

Калі служба працуе, этап збою вырашае, куды глядзець далей. Затрымка падчас IKE звычайна азначае, што UDP 500 або 4500 так і не дасягнуў сервера, або што сервер знаходзіцца за NAT без адпаведнай налады інкапсуляцыі. Дабрацца да запыту ўліковых даных і пацярпець там няўдачу — гэта праблема аўтэнтыфікацыі PPP, а не IPsec. Тунэль, які падымаецца і нічога не дасягае, — гэта збой маршрутызацыі або падзеленага тунэлю, і толькі першы з гэтых трох жыве ў профілі VPN.

Профілі з сертыфікатам дадаюць уласны этап. Кліент павінен давяраць выдаўцу, а сертыфікат павінен называць сервер, які правяраецца; калі любая з дзвюх умоў не выконваецца, дыялог усё роўна паведамляе пра памылку пачатковага ўзгаднення, таму менавіта журнал падзей паказвае сапраўдную прычыну. Прачытайце запіс у журнале да рэдагавання профілю, бо дыялог сціскае некалькі розных збояў у адну фразу. Пратэрмінаваны сертыфікат дае той жа дыялог, што і адключаная служба, і таму запіс у журнале важны.

Запішыце збойны этап, тэкст памылкі і адзнаку часу для кожнай спробы. Гэтыя тры палі аддзяляюць праблему даступнасці ад праблемы аўтэнтыфікацыі і ад праблемы маршрутызацыі, і яны ператвараюць наступную змену ў рашэнне, а не ў здагадку.

Чаго не можа даказаць лакальны рамонт

Аднаўленне службы выпраўляе тую палову шляху, што знаходзіцца на ноўтбуку. Працуючая служба даказвае толькі лакальную палову: далёкі бок усё яшчэ павінен прыняць выбранае прадстаўленне, перададзеныя ўліковыя даныя і адрас крыніцы, з якога прыходзіць пакет. Нішто, зробленае на ноўтбуку, не кампенсуе міжсеткавы экран, які адкідвае UDP 500 да таго, як ён дасягне партнёра. Паспяховы стан службы — гэта перадумова, а не доказ таго, што тунэль падымецца.

Адключаць IKEEXT дзеля вызвалення партоў можна апраўдаць, толькі калі вы прымаеце, што IPsec-VPN Windows перастануць працаваць. Гэта вырашае канфлікт партоў, прыбіраючы функцыю, якой быў патрэбны порт, і такое рэдка бывае абменам, які задумаў карыстальнік. Перш чым што-небудзь змяніць, пацвердзіце, што служба прысутнічае, усталявана ў Automatic і працуе, што другі стэк IPsec не ўсталяваны і што папярэдне агульны ключ або ланцужок сертыфікатаў адпавядае шлюзу.

  • IKEEXT прысутнічае, усталявана ў Automatic і працуе да падключэння кліента.
  • Нішто іншае не ўтрымлівае UDP 500 або 4500.
  • Ад старога кліента не застаецца другога стэка IPsec.
  • Ключ або ланцужок сертыфікатаў адпавядае канфігурацыі шлюза.
  • Збойны этап быў запісаны да рэдагавання профілю.

Падобныя артыкулы