L2TP/IPsec се проваля, когато услугата IKEEXT е изключена

Без IKEEXT няма IPsec: L2TP и IKEv2 се провалят, докато други типове продължават да се свързват. Проверете услугата и след това разберете какво я е изключило, преди да редактирате профила.

Един лаптоп достига шлюз IKEv2, но се проваля срещу шлюз L2TP/IPsec, и грешката идва преди да бъде изпратено каквото и да е потребителско име. Профилът обикновено е първият заподозрян и обикновено грешният. Windows изпълнява обмена на ключове IPsec в услуга, и докато тази услуга е изключена, вграденият клиент няма стек, с който да преговаря. Проверете услугата, преди да докоснете дори едно поле на профила, и след това разберете какво я е изключило.

Услугата зад провала

IKE and AuthIP IPsec Keying Modules, показана като IKEEXT в списъка с услуги, извършва обмена на ключове и държи сокетите UDP 500 и 4500 в Windows. Изключете я и както L2TP/IPsec, така и IKEv2 губят своя преговарящ, докато PPTP и SSTP могат да продължат да работят, защото не зависят от нея. Това разделение обяснява защо потребител може да съобщи, че един тип VPN работи, а друг е мъртъв на същата машина. Услугата е част от операционната система, така че никоя настройка на профила не може да я замени.

Освобождаването на тези два порта е страничният ефект, който поражда лоши съвети. Инструмент или публикация във форум забелязва, че 500 и 4500 са заети, спира услугата, за да ги освободи, и така тихо премахва IPsec от хоста. Двата ефекта са едно действие, затова всяко ръководство, което препоръчва изчистване на портовете, описва размяна, а не ремонт.

Върнете услугата без догадки

Задайте на мениджъра на услуги два въпроса: какъв е типът на стартиране и какво е текущото състояние. Първият казва дали услугата ще се върне след рестарт; вторият дали работи сега. Изпълнете и двете заявки от повишен команден ред, за да може същата обвивка после да промени настройката.

sc qc ikeext
sc query ikeext

Тип на стартиране Disabled обяснява целия симптом, а решението е да го върнете на Automatic и да стартирате услугата. В конзолата Услуги записът се показва под показваното си име IKE and AuthIP IPsec Keying Modules, така че търсенето на IKEEXT в този списък не намира нищо. Рестартирайте, ако услугата е била стартирана едва след като неуспешна връзка вече е протекла, защото стек, инициализиран в този ред, може да се провали по начини, които изглеждат несвързани.

sc config ikeext start= auto
net start ikeext

Какво я изключва отново

Някои пакети VPN от трети страни доставят собствена реализация на IPsec и изключват IKEEXT по време на инсталацията, след което клиентът на Windows спира да работи. Премахването на другия продукт е възстановило L2TP/IPsec на машини, където редакциите на профила не постигаха нищо, и същото е направила преинсталацията без конфликтния компонент. Услугата е била изключена при инсталацията, а не превключена от потребителя.

Груповата политика също може да закрепи типа на стартиране; в такъв случай локална промяна се отменя при следващото обновяване и администраторът, който притежава политиката, трябва да я промени. Записвайте типа на стартиране преди рестарт, след рестарт и след обновяванията на другия продукт, всеки път с дата. Стойност, която непрекъснато се връща на Disabled, издава своя притежател по модела, а не по догадки.

Прочетете етапа, после журнала

Когато услугата работи, етапът на провала решава къде да гледате след това. Забавяне по време на IKE обикновено означава, че UDP 500 или 4500 никога не е достигнал сървъра, или че сървърът е зад NAT без съответната настройка за инкапсулация. Да стигнете до подканата за идентификационни данни и да се провалите там е проблем с удостоверяването PPP, а не с IPsec. Тунел, който се вдига и не достига нищо, е повреда в маршрутизацията или в разделен тунел, и само първата от тези три се намира в профила на VPN.

Профилите със сертификат добавят свой етап. Клиентът трябва да се доверява на издаващия орган и сертификатът трябва да именува проверявания сървър; когато някое от двете условия се провали, диалогът все още съобщава грешка в първоначалното договаряне, затова журналът на събитията е мястото, където се появява истинската причина. Прочетете записа в журнала, преди да редактирате профила, защото диалогът притиска няколко различни провала в едно изречение. Изтекъл сертификат произвежда същия диалог като изключена услуга и затова записът в журнала е важен.

Запишете провалилия се етап, текста на грешката и времевата марка за всеки опит. Тези три полета разделят проблем с достъпността от проблем с удостоверяването и от проблем с маршрутизацията, и превръщат следващата промяна в решение, а не в догадка.

Какво не може да докаже локален ремонт

Възстановяването на услугата поправя половината от пътя, която е на лаптопа. Работеща услуга доказва само локалната половина: далечният край все още трябва да приеме избраното предложение, предоставените идентификационни данни и адреса на източника, от който пристига пакетът. Нищо, направено на лаптопа, не компенсира защитна стена, която изхвърля UDP 500, преди да достигне до партньора. Успешното състояние на услугата е предварително условие, а не доказателство, че тунелът ще се вдигне.

Изключването на IKEEXT, за да се освободят портовете, е защитимо само ако приемете, че IPsec VPN на Windows спират да работят. То решава конфликт на портове, като премахва функцията, която се нуждаеше от порта, и това рядко е размяната, която потребителят е имал предвид. Преди да промените нещо, потвърдете, че услугата съществува, зададена е на Automatic и работи, че не е инсталиран втори стек IPsec и че предварително споделеният ключ или веригата от сертификати съответства на шлюза.

  • IKEEXT съществува, зададена е на Automatic и работи, преди клиентът да се свърже.
  • Нищо друго не държи UDP 500 или 4500.
  • От стар клиент не остава втори стек IPsec.
  • Ключът или веригата от сертификати съответства на конфигурацията на шлюза.
  • Провалилият се етап беше записан преди редактирането на профила.

Подобни статии