L2TP/IPsec falla quan el servei IKEEXT està desactivat

Un portàtil arriba a una passarel·la IKEv2 però falla contra una de L2TP/IPsec, i l'error apareix abans que s'enviï cap nom d'usuari. El perfil sol ser el primer sospitós i gairebé sempre l'equivocat. Windows executa l'intercanvi de claus IPsec en un servei, i mentre aquest servei està desactivat el client integrat no té pila amb què negociar. Comproveu el servei abans de tocar un sol camp del perfil i després esbrineu què el va desactivar.

El servei que hi ha darrere de la fallada

IKE and AuthIP IPsec Keying Modules, que apareix com a IKEEXT a la llista de serveis, fa l'intercanvi de claus i manté els sockets UDP 500 i 4500 a Windows. Desactiveu-lo i tant L2TP/IPsec com IKEv2 perden el seu negociador, mentre que PPTP i SSTP poden continuar funcionant perquè no en depenen. Aquesta divisió explica que un usuari informi que un tipus de VPN funciona i un altre està mort a la mateixa màquina. El servei forma part del sistema operatiu, així que cap opció del perfil el pot substituir.

Alliberar aquests dos ports és l'efecte secundari que genera els mals consells. Una eina o un missatge de fòrum s'adona que 500 i 4500 estan ocupats, atura el servei per alliberar-los i amb això elimina IPsec de l'equip sense avisar. Els dos efectes són una sola acció, així que qualsevol guia que recomani buidar els ports descriu un intercanvi i no una reparació.

Tornar el servei al seu lloc sense endevinar

Feu dues preguntes al gestor de serveis: quin és el tipus d'inici i quin és l'estat actual. La primera indica si el servei tornarà després d'un reinici; la segona, si s'està executant ara. Executeu totes dues consultes des d'un símbol del sistema elevat perquè la mateixa shell pugui canviar la configuració després.

sc qc ikeext
sc query ikeext

Un tipus d'inici Disabled explica tot el símptoma, i la solució és tornar-lo a posar en Automatic i iniciar-lo. A la consola de Serveis l'entrada apareix amb el nom de visualització, IKE and AuthIP IPsec Keying Modules, així que buscar IKEEXT en aquesta llista no troba res. Reinicieu si el servei es va iniciar després que ja s'hagués executat una connexió fallida, perquè una pila inicialitzada en aquest ordre pot fallar de maneres que semblen no tenir relació.

sc config ikeext start= auto
net start ikeext

Què el torna a apagar

Algunes suites de VPN de tercers inclouen la seva pròpia implementació d'IPsec i desactiven IKEEXT durant la instal·lació, després de la qual cosa el client de Windows deixa de funcionar. Treure l'altre producte ha restaurat L2TP/IPsec en màquines on les edicions del perfil no aconseguien res, i el mateix ha fet reinstal·lar-lo sense el component en conflicte. El servei es va desactivar en instal·lar-se, no el va canviar l'usuari.

Les directrius de grup també poden fixar el tipus d'inici; en aquest cas, un canvi local es reverteix en la propera actualització i l'administrador propietari de la directriu l'ha de canviar. Anoteu el tipus d'inici abans d'un reinici, després d'un reinici i després que s'actualitzi l'altre producte, amb la data cada vegada. Un valor que torna una i una altra vegada a Disabled delata el seu propietari pel patró, no per conjectures.

Llegiu la fase i després el registre

Amb el servei en marxa, la fase de la fallada decideix on mirar després. Un bloqueig durant IKE sol significar que UDP 500 o 4500 no va arribar mai al servidor, o que el servidor és darrere de NAT sense la configuració d'encapsulament corresponent. Arribar a l'avís de credencials i fallar allà és un problema d'autenticació PPP, no d'IPsec. Un túnel que s'aixeca i no arriba enlloc és una fallada d'encaminament o de túnel dividit, i només la primera d'aquestes tres viu al perfil de la VPN.

Els perfils amb certificat afegeixen una fase pròpia. El client ha de confiar en l'autoritat emissora i el certificat ha de nomenar el servidor que es valida; quan falla qualsevol de les dues condicions, el diàleg continua informant d'un error de negociació inicial, així que el registre d'esdeveniments és on apareix el motiu real. Llegiu l'entrada del registre abans d'editar el perfil, perquè el diàleg comprimeix diversos errors diferents en una sola frase. Un certificat caducat produeix el mateix diàleg que un servei desactivat, i per això importa l'entrada del registre.

Anoteu la fase que falla, el text de l'error i la marca de temps de cada intent. Aquests tres camps separen un problema d'abast d'un d'autenticació i d'un d'encaminament, i converteixen el canvi següent en una decisió en lloc d'una conjectura.

Què no pot demostrar una reparació local

Restaurar el servei arregla la meitat del camí que és al portàtil. Un servei que funciona només demostra la meitat local: l'extrem remot encara ha d'acceptar la proposta triada, les credencials enviades i l'adreça d'origen de la qual arriba el paquet. Res del que es faci al portàtil compensa un tallafocs que descarta UDP 500 abans que arribi al parell. Un estat de servei correcte és una condició prèvia, no una prova que el túnel s'aixecarà.

Desactivar IKEEXT per alliberar els ports només és defensable si accepteu que les VPN IPsec de Windows deixen de funcionar. Resol un conflicte de ports eliminant la funció que necessitava el port, que poques vegades és l'intercanvi que l'usuari volia. Abans de canviar res, confirmeu que el servei hi és, està en Automatic i en execució, que no hi ha una segona pila IPsec instal·lada i que la clau precompartida o la cadena de certificats coincideix amb la passarel·la.

• IKEEXT hi és, està en Automatic i en execució abans que el client es connecti.
• Res més reté UDP 500 ni 4500.
• No queda una segona pila IPsec d'un client antic.
• La clau o la cadena de certificats coincideix amb la configuració de la passarel·la.
• La fase que va fallar va quedar registrada abans d'editar el perfil.