Το L2TP/IPsec αποτυγχάνει όταν η υπηρεσία IKEEXT είναι απενεργοποιημένη

Ένας φορητός υπολογιστής φτάνει σε μια πύλη IKEv2 αλλά αποτυγχάνει σε μια L2TP/IPsec, και το σφάλμα εμφανίζεται πριν σταλεί οποιοδήποτε όνομα χρήστη. Το προφίλ είναι συνήθως ο πρώτος ύποπτος και συνήθως ο λάθος. Τα Windows εκτελούν την ανταλλαγή κλειδιών IPsec σε μια υπηρεσία, και όσο αυτή η υπηρεσία είναι απενεργοποιημένη, ο ενσωματωμένος πελάτης δεν έχει στοίβα για να διαπραγματευτεί. Ελέγξτε την υπηρεσία πριν αγγίξετε έστω ένα πεδίο του προφίλ και μετά βρείτε τι την απενεργοποίησε.

Η υπηρεσία πίσω από την αποτυχία

Το IKE and AuthIP IPsec Keying Modules, που εμφανίζεται ως IKEEXT στη λίστα υπηρεσιών, εκτελεί την ανταλλαγή κλειδιών και κρατά τις υποδοχές UDP 500 και 4500 στα Windows. Απενεργοποιήστε το και τόσο το L2TP/IPsec όσο και το IKEv2 χάνουν τον διαπραγματευτή τους, ενώ το PPTP και το SSTP μπορούν να συνεχίσουν να λειτουργούν επειδή δεν εξαρτώνται από αυτό. Αυτή η διάσπαση εξηγεί γιατί ένας χρήστης μπορεί να αναφέρει ότι ένας τύπος VPN λειτουργεί και ένας άλλος είναι νεκρός στο ίδιο μηχάνημα. Η υπηρεσία είναι μέρος του λειτουργικού συστήματος, επομένως καμία ρύθμιση προφίλ δεν μπορεί να την αντικαταστήσει.

Η απελευθέρωση αυτών των δύο θυρών είναι η παρενέργεια που παράγει κακές συμβουλές. Ένα εργαλείο ή μια ανάρτηση σε φόρουμ παρατηρεί ότι οι 500 και 4500 είναι κατειλημμένες, σταματά την υπηρεσία για να τις ελευθερώσει και έτσι αφαιρεί σιωπηλά το IPsec από τον υπολογιστή. Τα δύο αποτελέσματα είναι μία ενέργεια, επομένως κάθε οδηγός που προτείνει να καθαρίσετε τις θύρες περιγράφει μια ανταλλαγή και όχι μια επισκευή.

Επαναφέρετε την υπηρεσία χωρίς εικασίες

Κάντε δύο ερωτήσεις στη διαχείριση υπηρεσιών: ποιος είναι ο τύπος εκκίνησης και ποια είναι η τρέχουσα κατάσταση. Η πρώτη σας λέει αν η υπηρεσία θα επιστρέψει μετά από επανεκκίνηση· η δεύτερη αν εκτελείται τώρα. Εκτελέστε και τα δύο ερωτήματα από γραμμή εντολών με αυξημένα δικαιώματα, ώστε το ίδιο κέλυφος να μπορεί να αλλάξει τη ρύθμιση στη συνέχεια.

sc qc ikeext
sc query ikeext

Ένας τύπος εκκίνησης Disabled εξηγεί ολόκληρο το σύμπτωμα, και η λύση είναι να τον επαναφέρετε σε Automatic και να ξεκινήσετε την υπηρεσία. Στην κονσόλα Services η καταχώριση εμφανίζεται με το εμφανιζόμενο όνομα, IKE and AuthIP IPsec Keying Modules, οπότε η αναζήτηση για IKEEXT σε αυτή τη λίστα δεν βρίσκει τίποτα. Κάντε επανεκκίνηση αν η υπηρεσία ξεκίνησε αφού είχε ήδη εκτελεστεί μια αποτυχημένη σύνδεση, επειδή μια στοίβα που αρχικοποιήθηκε με αυτή τη σειρά μπορεί να αποτύχει με τρόπους που φαίνονται άσχετοι.

sc config ikeext start= auto
net start ikeext

Τι την απενεργοποιεί ξανά

Ορισμένες σουίτες VPN τρίτων παρέχουν τη δική τους υλοποίηση IPsec και απενεργοποιούν το IKEEXT κατά την εγκατάσταση, μετά την οποία ο πελάτης των Windows σταματά να λειτουργεί. Η αφαίρεση του άλλου προϊόντος έχει επαναφέρει το L2TP/IPsec σε μηχανήματα όπου οι αλλαγές προφίλ δεν πετύχαιναν τίποτα, όπως και η επανεγκατάστασή του χωρίς το συγκρουόμενο στοιχείο. Η υπηρεσία απενεργοποιήθηκε κατά την εγκατάσταση, δεν την άλλαξε ο χρήστης.

Η πολιτική ομάδας μπορεί επίσης να καθηλώσει τον τύπο εκκίνησης· σε αυτή την περίπτωση μια τοπική αλλαγή επαναφέρεται στην επόμενη ανανέωση και ο διαχειριστής που κατέχει την πολιτική πρέπει να την αλλάξει. Καταγράψτε τον τύπο εκκίνησης πριν από μια επανεκκίνηση, μετά από μια επανεκκίνηση και μετά τις ενημερώσεις του άλλου προϊόντος, με την ημερομηνία κάθε φορά. Μια τιμή που επιστρέφει συνεχώς σε Disabled προδίδει τον ιδιοκτήτη της από το μοτίβο, όχι από εικασίες.

Διαβάστε το στάδιο και μετά το αρχείο καταγραφής

Με την υπηρεσία σε λειτουργία, το στάδιο της αποτυχίας καθορίζει πού να κοιτάξετε στη συνέχεια. Μια ανάσχεση κατά το IKE σημαίνει συνήθως ότι το UDP 500 ή το 4500 δεν έφτασε ποτέ στον διακομιστή, ή ότι ο διακομιστής βρίσκεται πίσω από NAT χωρίς τη σωστή ρύθμιση ενθυλάκωσης. Το να φτάσετε στο αίτημα διαπιστευτηρίων και να αποτύχετε εκεί είναι πρόβλημα ελέγχου ταυτότητας PPP, όχι IPsec. Μια σήραγγα που ανεβαίνει και δεν φτάνει πουθενά είναι βλάβη δρομολόγησης ή διαχωρισμένης σήραγγας, και μόνο η πρώτη από τις τρεις βρίσκεται στο προφίλ VPN.

Τα προφίλ με πιστοποιητικό προσθέτουν δικό τους στάδιο. Ο πελάτης πρέπει να εμπιστεύεται την εκδότρια αρχή και το πιστοποιητικό πρέπει να ονομάζει τον διακομιστή που επικυρώνεται· όταν αποτύχει οποιαδήποτε από τις δύο συνθήκες, ο διάλογος εξακολουθεί να αναφέρει σφάλμα αρχικής διαπραγμάτευσης, οπότε το αρχείο καταγραφής συμβάντων είναι το σημείο όπου εμφανίζεται η πραγματική αιτία. Διαβάστε την καταχώριση του αρχείου πριν επεξεργαστείτε το προφίλ, επειδή ο διάλογος συμπιέζει πολλές διαφορετικές αποτυχίες σε μία πρόταση. Ένα ληγμένο πιστοποιητικό παράγει τον ίδιο διάλογο με μια απενεργοποιημένη υπηρεσία, και γι' αυτό η καταχώριση μετράει.

Καταγράψτε το στάδιο που αποτυγχάνει, το κείμενο του σφάλματος και τη χρονική σήμανση για κάθε προσπάθεια. Αυτά τα τρία πεδία διαχωρίζουν ένα πρόβλημα προσβασιμότητας από ένα πρόβλημα ελέγχου ταυτότητας και από ένα πρόβλημα δρομολόγησης, και κάνουν την επόμενη αλλαγή απόφαση αντί για εικασία.

Τι δεν μπορεί να αποδείξει μια τοπική επισκευή

Η επαναφορά της υπηρεσίας διορθώνει το μισό της διαδρομής που βρίσκεται στον φορητό υπολογιστή. Μια υπηρεσία που λειτουργεί αποδεικνύει μόνο το τοπικό μισό: το απομακρυσμένο άκρο πρέπει ακόμη να αποδεχτεί την επιλεγμένη πρόταση, τα διαπιστευτήρια που δόθηκαν και τη διεύθυνση προέλευσης από την οποία φτάνει το πακέτο. Τίποτα από όσα γίνονται στον φορητό υπολογιστή δεν αντισταθμίζει ένα τείχος προστασίας που απορρίπτει το UDP 500 πριν φτάσει στον ομότιμο. Μια επιτυχημένη κατάσταση υπηρεσίας είναι προϋπόθεση, όχι απόδειξη ότι η σήραγγα θα ανέβει.

Η απενεργοποίηση του IKEEXT για την απελευθέρωση των θυρών είναι υπερασπίσιμη μόνο αν αποδεχτείτε ότι οι VPN IPsec των Windows σταματούν να λειτουργούν. Λύνει μια σύγκρουση θυρών αφαιρώντας τη λειτουργία που χρειαζόταν τη θύρα, που σπάνια είναι η ανταλλαγή που σκόπευε ο χρήστης. Πριν αλλάξετε οτιδήποτε, επιβεβαιώστε ότι η υπηρεσία υπάρχει, είναι ρυθμισμένη σε Automatic και εκτελείται, ότι δεν είναι εγκατεστημένη δεύτερη στοίβα IPsec και ότι το προκοινόχρηστο κλειδί ή η αλυσίδα πιστοποιητικών ταιριάζει με την πύλη.

• Το IKEEXT υπάρχει, είναι ρυθμισμένο σε Automatic και εκτελείται πριν συνδεθεί ο πελάτης.
• Τίποτα άλλο δεν κρατά το UDP 500 ή το 4500.
• Δεν απομένει δεύτερη στοίβα IPsec από παλιό πελάτη.
• Το κλειδί ή η αλυσίδα πιστοποιητικών ταιριάζει με τη διαμόρφωση της πύλης.
• Το στάδιο που απέτυχε καταγράφηκε πριν επεξεργαστεί το προφίλ.