L2TP/IPsec selhává, když je služba IKEEXT zakázaná

Žádný IKEEXT, žádný IPsec: L2TP a IKEv2 selhávají, zatímco jiné typy se stále připojují. Zkontrolujte službu a pak zjistěte, co ji zakázalo, než začnete upravovat profil.

Jeden notebook se dostane k bráně IKEv2, ale selže u brány L2TP/IPsec, a chyba přijde dřív, než se odešle jakékoli uživatelské jméno. Profil bývá první podezřelý a bývá špatný. Windows provádí výměnu klíčů IPsec ve službě, a dokud je tato služba zakázaná, vestavěný klient nemá zásobník, se kterým by mohl vyjednávat. Zkontrolujte službu, než se dotknete jediného pole profilu, a pak zjistěte, co ji zakázalo.

Služba, která stojí za selháním

IKE and AuthIP IPsec Keying Modules, zobrazená v seznamu služeb jako IKEEXT, provádí výměnu klíčů a drží v systému Windows sockety UDP 500 a 4500. Zakažte ji a L2TP/IPsec i IKEv2 ztratí svého vyjednavače, zatímco PPTP a SSTP mohou dál fungovat, protože na ní nezávisí. Toto rozdělení vysvětluje, proč uživatel může hlásit, že jeden typ VPN funguje a jiný je na stejném počítači mrtvý. Služba je součástí operačního systému, takže ji žádné nastavení profilu nemůže nahradit.

Uvolnění těchto dvou portů je vedlejší účinek, který plodí špatné rady. Nástroj nebo příspěvek na fóru si všimne, že 500 a 4500 jsou obsazené, zastaví službu, aby je uvolnil, a tím tiše odstraní IPsec z hostitele. Oba účinky jsou jeden úkon, takže každý návod, který doporučuje porty vyčistit, popisuje výměnu, nikoli opravu.

Vraťte službu zpět bez hádání

Položte správci služeb dvě otázky: jaký je typ spuštění a jaký je aktuální stav. První říká, zda se služba po restartu vrátí; druhá, zda běží teď. Spusťte oba dotazy z zvýšeného příkazového řádku, aby stejný shell mohl potom nastavení změnit.

sc qc ikeext
sc query ikeext

Typ spuštění Disabled vysvětluje celý symptom a řešením je vrátit jej na Automatic a službu spustit. V konzoli Služby se položka zobrazuje pod zobrazovaným názvem IKE and AuthIP IPsec Keying Modules, takže hledání IKEEXT v tomto seznamu nic nenajde. Restartujte, pokud byla služba spuštěna až poté, co už proběhlo neúspěšné připojení, protože zásobník inicializovaný v tomto pořadí může selhat způsoby, které vypadají nesouvisející.

sc config ikeext start= auto
net start ikeext

Co ji znovu vypne

Některé sady VPN třetích stran dodávají vlastní implementaci IPsec a během instalace zakážou IKEEXT, načež klient Windows přestane fungovat. Odebrání druhého produktu obnovilo L2TP/IPsec na počítačích, kde úpravy profilu nic nepřinesly, a totéž udělala jeho přeinstalace bez konfliktní komponenty. Služba byla zakázána při instalaci, ne přepnuta uživatelem.

Typ spuštění může připnout i zásada skupiny; v takovém případě se místní změna při příštím obnovení vrátí a správce, který zásadu vlastní, ji musí změnit. Zapište typ spuštění před restartem, po restartu a po aktualizacích druhého produktu, pokaždé s datem. Hodnota, která se neustále vrací na Disabled, prozrazuje svého vlastníka vzorem, ne hádáním.

Nejprve si přečtěte fázi, pak protokol

Když služba běží, fáze selhání rozhoduje, kam se podívat dál. Zaseknutí během IKE obvykle znamená, že UDP 500 nebo 4500 nikdy nedorazilo na server, nebo že server je za NAT bez odpovídajícího nastavení zapouzdření. Dosáhnout výzvy k přihlášení a tam selhat je problém autentizace PPP, ne IPsec. Tunel, který se zvedne a k ničemu se nedostane, je závada směrování nebo rozděleného tunelu, a pouze první z těch tří sídlí v profilu VPN.

Profily s certifikátem přidávají vlastní fázi. Klient musí důvěřovat vydavatelské autoritě a certifikát musí pojmenovat ověřovaný server; když selže kterákoli z obou podmínek, dialog stále hlásí chybu počátečního vyjednávání, takže protokol událostí je místem, kde se objeví skutečný důvod. Přečtěte si záznam v protokolu, než upravíte profil, protože dialog stlačuje několik různých selhání do jedné věty. Prošlý certifikát vytváří stejný dialog jako zakázaná služba, a proto na záznamu v protokolu záleží.

Zapište selhávající fázi, text chyby a časové razítko pro každý pokus. Tato tři pole oddělují problém dosažitelnosti od problému autentizace a od problému směrování a činí z další změny rozhodnutí místo hádání.

Co místní oprava nemůže prokázat

Obnovení služby opraví polovinu cesty, která je na notebooku. Fungující služba prokazuje jen místní polovinu: vzdálený konec musí stále přijmout zvolený návrh, dodané přihlašovací údaje a zdrojovou adresu, ze které paket přichází. Nic, co se udělá na notebooku, nevykompenzuje firewall, který zahodí UDP 500, než dorazí k protějšku. Úspěšný stav služby je předpoklad, ne důkaz, že tunel vstane.

Vypnout IKEEXT kvůli uvolnění portů lze obhájit jen tehdy, pokud přijmete, že windowsové VPN s IPsec přestanou fungovat. Řeší konflikt portů odstraněním funkce, která port potřebovala, a to je zřídka výměna, kterou uživatel zamýšlel. Než cokoli změníte, potvrďte, že služba existuje, je nastavena na Automatic a běží, že není nainstalován druhý zásobník IPsec a že předsdílený klíč nebo řetěz certifikátů odpovídá bráně.

  • IKEEXT existuje, je nastaven na Automatic a běží, než se klient připojí.
  • Nic jiného nedrží UDP 500 ani 4500.
  • Po starém klientovi nezůstává druhý zásobník IPsec.
  • Klíč nebo řetěz certifikátů odpovídá konfiguraci brány.
  • Selhávající fáze byla zaznamenána před úpravou profilu.

Související články