L2TP/IPsec scheitert, wenn der Dienst IKEEXT deaktiviert ist

Kein IKEEXT, kein IPsec: L2TP und IKEv2 scheitern, während andere Typen weiterhin verbinden. Prüfen Sie den Dienst und finden Sie dann heraus, was ihn deaktiviert hat, bevor Sie das Profil bearbeiten.

Ein Laptop erreicht ein IKEv2-Gateway, scheitert aber an einem L2TP/IPsec-Gateway, und der Fehler tritt auf, bevor irgendein Benutzername gesendet wird. Das Profil ist meist der erste Verdächtige und meist der falsche. Windows betreibt die IPsec-Schlüsselaushandlung in einem Dienst, und solange dieser Dienst deaktiviert ist, hat der integrierte Client keinen Stack, mit dem er verhandeln könnte. Prüfen Sie den Dienst, bevor Sie auch nur ein Feld im Profil anfassen, und finden Sie dann heraus, was ihn deaktiviert hat.

Der Dienst hinter dem Fehler

IKE and AuthIP IPsec Keying Modules, in der Dienstliste als IKEEXT angezeigt, führt den Schlüsselaustausch aus und hält unter Windows die Sockets UDP 500 und 4500. Deaktivieren Sie ihn, verlieren L2TP/IPsec und IKEv2 beide ihren Verhandlungspartner, während PPTP und SSTP weiterlaufen können, weil sie nicht davon abhängen. Diese Aufteilung ist der Grund, warum ein Benutzer melden kann, dass ein VPN-Typ funktioniert und ein anderer auf derselben Maschine tot ist. Der Dienst gehört zum Betriebssystem, daher kann keine Profileinstellung ihn ersetzen.

Diese beiden Ports freizugeben ist der Nebeneffekt, der schlechte Ratschläge hervorbringt. Ein Tool oder ein Forumsbeitrag bemerkt, dass 500 und 4500 belegt sind, stoppt den Dienst, um sie freizugeben, und entfernt damit stillschweigend IPsec vom Host. Beide Wirkungen sind eine einzige Aktion, also beschreibt jede Anleitung, die das Freiräumen der Ports empfiehlt, einen Tausch und keine Reparatur.

Den Dienst zurückholen, ohne zu raten

Stellen Sie dem Dienstmanager zwei Fragen: Welcher Starttyp ist eingestellt, und in welchem Zustand befindet er sich gerade. Die erste sagt Ihnen, ob der Dienst nach einem Neustart zurückkehrt; die zweite sagt Ihnen, ob er jetzt läuft. Führen Sie beide Abfragen in einer erhöhten Eingabeaufforderung aus, damit dieselbe Shell danach die Einstellung ändern kann.

sc qc ikeext
sc query ikeext

Ein Starttyp Disabled erklärt das gesamte Symptom, und die Lösung besteht darin, ihn wieder auf Automatic zu setzen und den Dienst zu starten. In der Dienste-Konsole erscheint der Eintrag unter seinem Anzeigenamen, IKE and AuthIP IPsec Keying Modules, sodass die Suche nach IKEEXT in dieser Liste nichts findet. Starten Sie neu, wenn der Dienst erst gestartet wurde, nachdem bereits eine fehlgeschlagene Verbindung gelaufen war, denn ein Stack, der in dieser Reihenfolge initialisiert wurde, kann auf scheinbar unabhängige Weise scheitern.

sc config ikeext start= auto
net start ikeext

Was ihn wieder abschaltet

Manche VPN-Suiten von Drittanbietern bringen ihre eigene IPsec-Implementierung mit und deaktivieren IKEEXT während der Installation, wonach der Windows-Client nicht mehr funktioniert. Das Entfernen des anderen Produkts hat L2TP/IPsec auf Maschinen wiederhergestellt, auf denen Profiländerungen nichts bewirkten, und ebenso die Neuinstallation ohne die kollidierende Komponente. Der Dienst wurde zum Installationszeitpunkt deaktiviert, nicht vom Benutzer umgeschaltet.

Auch die Gruppenrichtlinie kann den Starttyp festnageln; in diesem Fall wird eine lokale Änderung beim nächsten Aktualisieren zurückgenommen, und der Administrator, dem die Richtlinie gehört, muss sie ändern. Notieren Sie den Starttyp vor einem Neustart, nach einem Neustart und nach Updates des anderen Produkts, jeweils mit Datum. Ein Wert, der immer wieder auf Disabled zurückkehrt, verrät seinen Besitzer durch das Muster und nicht durch Vermutungen.

Erst die Phase lesen, dann das Protokoll

Wenn der Dienst läuft, entscheidet die Phase des Fehlers darüber, wo Sie als Nächstes nachsehen. Ein Hänger während IKE bedeutet meist, dass UDP 500 oder 4500 den Server nie erreicht hat, oder dass der Server hinter NAT sitzt, ohne die passende Kapselungseinstellung. Wenn die Anmeldeaufforderung erreicht wird und dort scheitert, ist das ein PPP-Authentifizierungsproblem und kein IPsec-Problem. Ein Tunnel, der aufgebaut wird und nichts erreicht, ist ein Routing- oder Split-Tunnel-Fehler, und nur der erste dieser drei Fälle liegt im VPN-Profil.

Zertifikatsprofile fügen eine eigene Phase hinzu. Der Client muss der ausstellenden Stelle vertrauen, und das Zertifikat muss den Server benennen, der validiert wird; wenn eine der beiden Bedingungen scheitert, meldet der Dialog weiterhin einen Fehler in der ersten Aushandlung, sodass das Ereignisprotokoll der Ort ist, an dem der wahre Grund auftaucht. Lesen Sie den Protokolleintrag, bevor Sie das Profil bearbeiten, denn der Dialog presst mehrere unterschiedliche Fehler in einen Satz. Ein abgelaufenes Zertifikat erzeugt denselben Dialog wie ein deaktivierter Dienst, deshalb ist der Protokolleintrag wichtig.

Halten Sie für jeden Versuch die fehlgeschlagene Phase, den Fehlertext und den Zeitstempel fest. Diese drei Felder trennen ein Erreichbarkeitsproblem von einem Authentifizierungsproblem und von einem Routingproblem, und sie machen die nächste Änderung zu einer Entscheidung statt zu einer Vermutung.

Was eine lokale Reparatur nicht beweisen kann

Die Wiederherstellung des Dienstes behebt die Hälfte des Weges, die auf dem Laptop liegt. Ein laufender Dienst beweist nur die lokale Hälfte: Die Gegenseite muss weiterhin den gewählten Vorschlag, die gelieferten Anmeldedaten und die Quelladresse akzeptieren, von der das Paket ankommt. Nichts, was auf dem Laptop getan wird, gleicht eine Firewall aus, die UDP 500 verwirft, bevor es den Peer erreicht. Ein erfolgreicher Dienstzustand ist eine Voraussetzung, kein Beweis dafür, dass der Tunnel zustande kommt.

IKEEXT abzuschalten, um die Ports freizugeben, ist nur dann vertretbar, wenn Sie akzeptieren, dass Windows-IPsec-VPNs nicht mehr funktionieren. Es löst einen Portkonflikt, indem es die Funktion entfernt, die den Port brauchte, und das ist selten der Tausch, den der Benutzer wollte. Bevor Sie etwas ändern, bestätigen Sie, dass der Dienst vorhanden, auf Automatic gesetzt und gestartet ist, dass kein zweiter IPsec-Stack installiert ist und dass der vorab geteilte Schlüssel oder die Zertifikatskette zum Gateway passt.

  • IKEEXT ist vorhanden, auf Automatic gesetzt und läuft, bevor der Client sich verbindet.
  • Nichts anderes hält UDP 500 oder 4500.
  • Von einem alten Client bleibt kein zweiter IPsec-Stack zurück.
  • Der Schlüssel oder die Zertifikatskette passt zur Gateway-Konfiguration.
  • Die fehlgeschlagene Phase wurde festgehalten, bevor das Profil bearbeitet wurde.

Ähnliche Artikel