Mae L2TP/IPsec yn methu pan fydd y gwasanaeth IKEEXT wedi'i analluogi

Mae un gliniadur yn cyrraedd porth IKEv2 ond yn methu yn erbyn un L2TP/IPsec, ac mae'r gwall yn cyrraedd cyn i unrhyw enw defnyddiwr gael ei anfon. Y proffil yw'r prif amheuyn fel arfer ac fel arfer y llall anghywir. Mae Windows yn rhedeg cyfnewid allweddau IPsec mewn gwasanaeth, a thra bod y gwasanaeth hwnnw wedi'i analluogi, nid oes gan y cleient adeiledig stac i drafod ag ef. Gwiriwch y gwasanaeth cyn cyffwrdd ag unrhyw faes o'r proffil, ac yna darganfyddwch beth a'i hanalluogodd.

Y gwasanaeth y tu ôl i'r methiant

IKE and AuthIP IPsec Keying Modules, a ddangosir fel IKEEXT yn y rhestr gwasanaethau, sy'n gwneud y cyfnewid allweddau ac yn dal y socedi UDP 500 a 4500 ar Windows. Analluogwch ef a bydd L2TP/IPsec ac IKEv2 ill dau yn colli eu trafodwr, tra gall PPTP a SSTP barhau i weithio oherwydd nad ydynt yn dibynnu arno. Mae'r rhaniad hwnnw'n esbonio pam y gall defnyddiwr adrodd bod un math o VPN yn gweithio a bod un arall yn farw ar yr un peiriant. Mae'r gwasanaeth yn rhan o'r system weithredu, felly ni all unrhyw osodiad proffil gymryd ei le.

Rhyddhau'r ddau borth hynny yw'r sgil-effaith sy'n cynhyrchu cyngor gwael. Mae offeryn neu neges fforwm yn sylwi bod 500 a 4500 yn cael eu dal, yn atal y gwasanaeth i'w rhyddhau, ac yn symud IPsec oddi ar y gwesteiwr yn dawel. Un weithred yw'r ddau effaith, felly mae unrhyw ganllaw sy'n argymell clirio'r porthladdoedd yn disgrifio cyfnewid ac nid atgyweiriad.

Rhowch y gwasanaeth yn ôl heb ddyfalu

Gofynnwch ddau gwestiwn i'r rheolwr gwasanaethau: beth yw'r math cychwyn, a beth yw'r cyflwr presennol. Mae'r cyntaf yn dweud a fydd y gwasanaeth yn dychwelyd ar ôl ailgychwyn; mae'r ail yn dweud a yw'n rhedeg nawr. Rhedwch y ddau ymholiad o anogwr gorchymyn wedi'i ddyrchafu fel y gall yr un cragen newid y gosodiad wedyn.

sc qc ikeext
sc query ikeext

Mae math cychwyn Disabled yn esbonio'r symptom cyfan, a'r ateb yw ei roi'n ôl i Automatic a'i gychwyn. Yng nghonsol Services mae'r cofnod yn ymddangos o dan ei enw arddangos, IKE and AuthIP IPsec Keying Modules, felly nid yw chwilio am IKEEXT yn y rhestr honno'n dod o hyd i ddim. Ailgychwynnwch os cychwynnwyd y gwasanaeth ar ôl i gysylltiad wedi methu redeg yn barod, oherwydd gall stac a gychwynnwyd yn y drefn honno fethu mewn ffyrdd sy'n ymddangos yn ddi-gysylltiad.

sc config ikeext start= auto
net start ikeext

Beth sy'n ei ddiffodd eto

Mae rhai pecynnau VPN trydydd parti yn cludo eu gweithrediad IPsec eu hunain ac yn analluogi IKEEXT wrth osod, ac wedyn mae'r cleient Windows yn stopio gweithio. Mae tynnu'r cynnyrch arall wedi adfer L2TP/IPsec ar beiriannau lle nad oedd golygu'r proffil yn cyflawni dim, ac felly hefyd ei ailosod heb y gydran sy'n gwrthdaro. Analluogwyd y gwasanaeth ar adeg gosod, nid ei newid gan y defnyddiwr.

Gall polisi grŵp binio'r math cychwyn hefyd; yn yr achos hwnnw mae newid lleol yn cael ei wrthdroi ar yr adnewyddiad nesaf a rhaid i'r gweinyddwr sy'n berchen ar y polisi ei newid. Cofnodwch y math cychwyn cyn ailgychwyn, ar ôl ailgychwyn ac ar ôl i'r cynnyrch arall ddiweddaru, gyda'r dyddiad bob tro. Mae gwerth sy'n parhau i ddychwelyd i Disabled yn bradychu ei berchennog drwy'r patrwm, nid drwy ddyfalu.

Darllenwch y cam, yna'r log

Gyda'r gwasanaeth yn rhedeg, mae cam y methiant yn penderfynu ble i edrych nesaf. Mae stopio yn ystod IKE fel arfer yn golygu na chyrhaeddodd UDP 500 na 4500 y gweinydd erioed, neu fod y gweinydd y tu ôl i NAT heb y gosodiad ymgorffori cyfatebol. Cyrraedd yr anogwr cymwysterau a methu yno yw problem dilysu PPP, nid problem IPsec. Mae twnnel sy'n codi ac yn cyrraedd dim yn fai llwybro neu dwnnel hollt, a dim ond y cyntaf o'r tri hynny sy'n byw yn y proffil VPN.

Mae proffiliau tystysgrif yn ychwanegu cam eu hunain. Mae'n rhaid i'r cleient ymddiried yn yr awdurdod dyroddi ac mae'n rhaid i'r dystysgrif enwi'r gweinydd sy'n cael ei ddilysu; pan fydd y naill neu'r llall o'r amodau'n methu, mae'r deialog yn dal i adrodd gwall negydu cychwynnol, felly'r log digwyddiadau yw lle mae'r gwir reswm yn ymddangos. Darllenwch y cofnod log cyn golygu'r proffil, oherwydd mae'r deialog yn cywasgu sawl methiant gwahanol i un frawddeg. Mae tystysgrif wedi dod i ben yn cynhyrchu'r un deialog ag y gwnaeth gwasanaeth wedi'i analluogi, a dyna pam mae'r cofnod log o bwys.

Cofnodwch y cam sy'n methu, testun y gwall a'r stamp amser ar gyfer pob ymgais. Mae'r tri maes hynny'n gwahanu problem gyrhaeddedd oddi wrth broblem dilysu ac oddi wrth broblem llwybro, ac maent yn gwneud y newid nesaf yn benderfyniad yn lle'n ddyfaliad.

Beth na all atgyweiriad lleol ei brofi

Mae adfer y gwasanaeth yn trwsio hanner y llwybr sydd ar y gliniadur. Mae gwasanaeth sy'n gweithio ond yn profi'r hanner lleol: rhaid i'r pen pell barhau i dderbyn y cynnig a ddewiswyd, y cymwysterau a ddarparwyd a'r cyfeiriad ffynhonnell y daw'r pecyn ohono. Nid oes unrhyw beth a wneir ar y gliniadur yn gwneud iawn am dan wal sy'n taflu UDP 500 cyn iddo gyrraedd y cymar. Mae cyflwr gwasanaeth llwyddiannus yn ragofyn, nid yn dystiolaeth y bydd y twnnel yn codi.

Dim ond os derbyniwch fod VPNau IPsec Windows yn stopio gweithio y mae analluogi IKEEXT i ryddhau'r porthladdoedd yn amddiffynadwy. Mae'n datrys gwrthdaro porth drwy ddileu'r nodwedd a oedd angen y porth, ac anaml yw hwnnw'r cyfnewid a fwriadwyd gan y defnyddiwr. Cyn newid unrhyw beth, cadarnhewch fod y gwasanaeth yn bresennol, wedi'i osod i Automatic ac yn rhedeg, nad oes ail stac IPsec wedi'i osod, a bod yr allwedd a rannwyd ymlaen llaw neu'r gadwyn dystysgrifau'n cyfateb i'r porth.

• Mae IKEEXT yn bresennol, wedi'i osod i Automatic ac yn rhedeg cyn i'r cleient gysylltu.
• Nid oes unrhyw beth arall yn dal UDP 500 na 4500.
• Nid oes ail stac IPsec yn weddill o hen gleient.
• Mae'r allwedd neu'r gadwyn dystysgrifau'n cyfateb i ffurfweddiad y porth.
• Cofnodwyd y cam a fethodd cyn i'r proffil gael ei olygu.