IKEEXT সেবা নিষ্ক্রিয় থাকলে L2TP/IPsec ব্যর্থ হয়

একটি ল্যাপটপ IKEv2 গেটওয়েতে পৌঁছায় কিন্তু L2TP/IPsec গেটওয়েতে ব্যর্থ হয়, এবং ত্রুটি কোনো ব্যবহারকারী নাম পাঠানোর আগেই আসে। প্রোফাইল সাধারণত প্রথম সন্দেহভাজন এবং সাধারণত ভুলটি। Windows IPsec কী বিনিময় একটি সেবায় চালায়, এবং যতক্ষণ সেই সেবা নিষ্ক্রিয় থাকে, অন্তর্নির্মিত ক্লায়েন্টের আলোচনার কোনো স্ট্যাক থাকে না। প্রোফাইলের একটি ক্ষেত্রেও হাত দেওয়ার আগে সেবাটি যাচাই করুন, তারপর কী এটিকে নিষ্ক্রিয় করেছে তা খুঁজে বের করুন।

ব্যর্থতার পিছনে সেবা

IKE and AuthIP IPsec Keying Modules, যা সেবা তালিকায় IKEEXT নামে দেখায়, কী বিনিময় সম্পাদন করে এবং Windows-এ UDP 500 ও 4500 সকেট ধরে রাখে। এটি নিষ্ক্রিয় করুন এবং L2TP/IPsec ও IKEv2 উভয়ই তাদের আলোচক হারায়, অন্যদিকে PPTP ও SSTP কাজ চালিয়ে যেতে পারে কারণ তারা এটির উপর নির্ভর করে না। এই বিভাজনই ব্যাখ্যা করে কেন একজন ব্যবহারকারী বলতে পারেন যে এক ধরনের VPN কাজ করে আর অন্যটি একই মেশিনে মৃত। সেবাটি অপারেটিং সিস্টেমের অংশ, তাই কোনো প্রোফাইল সেটিং এর বিকল্প হতে পারে না।

এই দুটি পোর্ট মুক্ত করা সেই পার্শ্বপ্রতিক্রিয়া যা খারাপ পরামর্শ তৈরি করে। একটি টুল বা ফোরাম পোস্ট লক্ষ্য করে যে 500 ও 4500 ব্যস্ত, সেগুলো মুক্ত করতে সেবাটি থামায় এবং এভাবে IPsec কে হোস্ট থেকে নিঃশব্দে সরিয়ে দেয়। দুটি প্রভাব একই কাজ, তাই পোর্ট পরিষ্কার করার পরামর্শ দেওয়া যেকোনো নির্দেশিকা মেরামত নয় বরং বিনিময় বর্ণনা করে।

অনুমান না করে সেবাটি ফিরিয়ে আনুন

সেবা ব্যবস্থাপককে দুটি প্রশ্ন করুন: স্টার্টআপের ধরন কী, এবং বর্তমান অবস্থা কী। প্রথমটি বলে সেবাটি পুনরায় চালুর পর ফিরে আসবে কিনা; দ্বিতীয়টি বলে এটি এখন চলছে কিনা। উভয় কোয়েরি একটি উন্নীত কমান্ড প্রম্পট থেকে চালান যাতে একই শেল পরে সেটিং পরিবর্তন করতে পারে।

sc qc ikeext
sc query ikeext

স্টার্টআপের ধরন Disabled পুরো উপসর্গ ব্যাখ্যা করে, এবং সমাধান হল এটি আবার Automatic-এ সেট করে সেবাটি চালু করা। Services কনসোলে এন্ট্রিটি তার প্রদর্শিত নাম, IKE and AuthIP IPsec Keying Modules, দিয়ে দেখায়, তাই সেই তালিকায় IKEEXT খুঁজলে কিছু পাওয়া যায় না। সেবাটি যদি কেবল তখনই চালু হয় যখন একটি ব্যর্থ সংযোগ ইতিমধ্যে চলেছিল, তবে পুনরায় চালু করুন, কারণ সেই ক্রমে আরম্ভ করা স্ট্যাক এমনভাবে ব্যর্থ হতে পারে যা সম্পর্কহীন মনে হয়।

sc config ikeext start= auto
net start ikeext

আবার কী এটিকে বন্ধ করে

কিছু তৃতীয় পক্ষের VPN স্যুট তাদের নিজস্ব IPsec বাস্তবায়ন আনে এবং ইনস্টলেশনের সময় IKEEXT নিষ্ক্রিয় করে, এরপর Windows ক্লায়েন্ট কাজ করা বন্ধ করে। অন্য পণ্যটি সরানো সেই মেশিনগুলিতে L2TP/IPsec পুনরুদ্ধার করেছে যেখানে প্রোফাইল সম্পাদনা কিছুই অর্জন করেনি, এবং বিরোধপূর্ণ উপাদান ছাড়া পুনরায় ইনস্টল করাও তাই করেছে। সেবাটি ইনস্টলেশনের সময় নিষ্ক্রিয় হয়েছিল, ব্যবহারকারী এটি পরিবর্তন করেননি।

গ্রুপ পলিসিও স্টার্টআপের ধরন পিন করতে পারে; সেক্ষেত্রে স্থানীয় পরিবর্তন পরবর্তী রিফ্রেশে ফিরিয়ে নেওয়া হয় এবং পলিসির মালিক প্রশাসককে তা পরিবর্তন করতে হয়। স্টার্টআপের ধরন পুনরায় চালুর আগে, পরে এবং অন্য পণ্যের আপডেটের পরে প্রতিবার তারিখসহ নথিভুক্ত করুন। যে মান বারবার Disabled-এ ফিরে যায় সে তার মালিককে অনুমান নয় বরং প্যাটার্ন দিয়ে প্রকাশ করে।

প্রথমে পর্যায় পড়ুন, তারপর লগ

সেবা চলাকালে ব্যর্থতার পর্যায় নির্ধারণ করে এরপর কোথায় দেখতে হবে। IKE-এর সময় থেমে যাওয়া সাধারণত বোঝায় UDP 500 বা 4500 কখনো সার্ভারে পৌঁছায়নি, বা সার্ভার মিলে যাওয়া এনক্যাপসুলেশন সেটিং ছাড়া NAT-এর পিছনে আছে। ক্রেডেনশিয়াল প্রম্পটে পৌঁছে সেখানে ব্যর্থ হওয়া PPP প্রমাণীকরণের সমস্যা, IPsec-এর নয়। যে টানেল উঠে এসে কোথাও পৌঁছায় না সেটি রাউটিং বা বিভক্ত টানেলের ত্রুটি, এবং ওই তিনটির মধ্যে কেবল প্রথমটিই VPN প্রোফাইলে থাকে।

সার্টিফিকেটযুক্ত প্রোফাইল নিজস্ব পর্যায় যোগ করে। ক্লায়েন্টকে ইস্যুকারী কর্তৃপক্ষে বিশ্বাস করতে হয় এবং সার্টিফিকেটকে যাচাইকৃত সার্ভারের নাম দিতে হয়; যখন দুটির যেকোনো একটি শর্ত ব্যর্থ হয়, ডায়ালগ তবুও প্রাথমিক আলোচনার ত্রুটি জানায়, তাই ইভেন্ট লগই সেই জায়গা যেখানে আসল কারণ দেখা যায়। প্রোফাইল সম্পাদনার আগে লগ এন্ট্রি পড়ুন, কারণ ডায়ালগ কয়েকটি ভিন্ন ব্যর্থতাকে এক বাক্যে সংকুচিত করে। মেয়াদোত্তীর্ণ সার্টিফিকেট নিষ্ক্রিয় সেবার মতোই একই ডায়ালগ তৈরি করে, এজন্যই লগ এন্ট্রি গুরুত্বপূর্ণ।

প্রতিটি প্রচেষ্টার জন্য ব্যর্থ পর্যায়, ত্রুটির পাঠ এবং টাইমস্ট্যাম্প নথিভুক্ত করুন। এই তিনটি ক্ষেত্র পৌঁছানোর সমস্যাকে প্রমাণীকরণের সমস্যা ও রাউটিংয়ের সমস্যা থেকে আলাদা করে, এবং পরবর্তী পরিবর্তনকে অনুমান নয় বরং সিদ্ধান্তে পরিণত করে।

স্থানীয় মেরামত কী প্রমাণ করতে পারে না

সেবা পুনরুদ্ধার পথের যে অর্ধেক ল্যাপটপে আছে তা ঠিক করে। কার্যকর সেবা কেবল স্থানীয় অর্ধেক প্রমাণ করে: দূর প্রান্তকে এখনও নির্বাচিত প্রস্তাব, প্রদত্ত ক্রেডেনশিয়াল এবং যে উৎস ঠিকানা থেকে প্যাকেট আসে তা গ্রহণ করতে হবে। ল্যাপটপে করা কিছুই এমন ফায়ারওয়ালের ক্ষতিপূরণ করে না যা UDP 500 কে সঙ্গীর কাছে পৌঁছানোর আগেই ফেলে দেয়। সফল সেবা অবস্থা একটি পূর্বশর্ত, টানেল উঠে আসার প্রমাণ নয়।

পোর্ট মুক্ত করতে IKEEXT নিষ্ক্রিয় করা কেবল তখনই যুক্তিযুক্ত যখন আপনি মেনে নেন যে Windows-এর IPsec VPN কাজ করা বন্ধ করবে। এটি পোর্টের দ্বন্দ্ব সমাধান করে সেই বৈশিষ্ট্য সরিয়ে যা পোর্টটি প্রয়োজন ছিল, এবং এটি খুব কমই সেই বিনিময় যা ব্যবহারকারী চেয়েছিলেন। কিছু পরিবর্তনের আগে নিশ্চিত করুন যে সেবাটি আছে, Automatic-এ সেট এবং চলছে, দ্বিতীয় IPsec স্ট্যাক ইনস্টল নেই, এবং পূর্ব-ভাগ করা কী বা সার্টিফিকেট শৃঙ্খল গেটওয়ের সাথে মেলে।

• IKEEXT আছে, Automatic-এ সেট এবং ক্লায়েন্ট সংযোগের আগে চলছে।
• অন্য কিছু UDP 500 বা 4500 ধরে রাখে না।
• পুরনো ক্লায়েন্ট থেকে দ্বিতীয় IPsec স্ট্যাক থাকে না।
• কী বা সার্টিফিকেট শৃঙ্খল গেটওয়ে কনফিগারেশনের সাথে মেলে।
• ব্যর্থ পর্যায় প্রোফাইল সম্পাদনার আগে নথিভুক্ত হয়েছিল।