L2TP/IPsec ei toimi, kui IKEEXT-teenus on keelatud

Ilma IKEEXT-teenuseta pole IPseci: L2TP ja IKEv2 ei toimi, samal ajal kui teised tüübid ühenduvad edasi. Kontrollige teenust ja tehke seejärel kindlaks, mis selle keelas, enne kui profiili muudate.

Üks sülearvuti jõuab IKEv2-lüüsini, kuid ei toimi L2TP/IPsec-lüüsiga, ja viga saabub enne, kui ükski kasutajanimi saadetakse. Profiil on tavaliselt esimene kahtlane ja tavaliselt vale. Windows teostab IPsec-võtmevahetust teenuses, ja kuni see teenus on keelatud, ei ole sisseehitatud kliendil virna, millega läbirääkimisi pidada. Kontrollige teenust enne, kui puudutate ühtki profiilivälja, ja tehke seejärel kindlaks, mis selle keelas.

Tõrke taga olev teenus

IKE and AuthIP IPsec Keying Modules, mis kuvatakse teenuste loendis nimega IKEEXT, teostab võtmevahetust ja hoiab Windowsis UDP 500 ja 4500 pesa. Keelake see ja nii L2TP/IPsec kui ka IKEv2 kaotavad oma läbirääkija, samas kui PPTP ja SSTP saavad edasi töötada, sest need ei sõltu sellest. See jaotus selgitab, miks kasutaja võib teatada, et üks VPN-tüüp töötab ja teine on samas masinas surnud. Teenus on operatsioonisüsteemi osa, seega ükski profiiliseade ei saa seda asendada.

Nende kahe pordi vabastamine on kõrvalmõju, mis tekitab halbu nõuandeid. Tööriist või foorumipostitus märkab, et 500 ja 4500 on hõivatud, peatab teenuse nende vabastamiseks ja eemaldab nii vaikselt IPseci hostist. Need kaks mõju on üks tegevus, seega iga juhend, mis soovitab pordid vabastada, kirjeldab vahetust, mitte parandust.

Pange teenus tagasi ilma oletamata

Esitage teenusehaldurile kaks küsimust: milline on käivitustüüp ja milline on praegune olek. Esimene ütleb, kas teenus naaseb pärast taaskäivitust; teine, kas see praegu töötab. Käivitage mõlemad päringud kõrgendatud käsurealt, et sama kest saaks hiljem seadet muuta.

sc qc ikeext
sc query ikeext

Käivitustüüp Disabled selgitab kogu sümptomit ja lahendus on seada see tagasi Automatic peale ning käivitada. Jaotises Services kuvatakse kirje selle kuvanime all, IKE and AuthIP IPsec Keying Modules, seega IKEEXT otsimine selles loendis ei leia midagi. Taaskäivitage, kui teenus käivitati alles pärast seda, kui ebaõnnestunud ühendus oli juba toimunud, sest selles järjekorras algatatud virn võib ebaõnnestuda viisil, mis tundub seosetuna.

sc config ikeext start= auto
net start ikeext

Mis selle uuesti välja lülitab

Mõned kolmandate osapoolte VPN-komplektid pakuvad oma IPsec-teostust ja keelavad installimise ajal IKEEXT-i, misjärel Windowsi klient lakkab töötamast. Teise toote eemaldamine on taastanud L2TP/IPsec-i masinates, kus profiili muudatused ei saavutanud midagi, ja sama on teinud selle uuesti installimine ilma vastuolulise komponendita. Teenus keelati installimise ajal, mitte kasutaja poolt.

Grupipoliitika võib samuti käivitustüübi kinnistada; sel juhul võetakse kohalik muudatus järgmisel värskendamisel tagasi ja poliitika omanik peab selle muutma. Märkige käivitustüüp enne taaskäivitust, pärast taaskäivitust ja pärast teise toote värskendusi, iga kord kuupäevaga. Väärtus, mis naaseb korduvalt Disabled peale, reedab oma omaniku mustri, mitte oletuste kaudu.

Lugege etappi, seejärel logi

Kui teenus töötab, otsustab tõrke etapp, kuhu edasi vaadata. IKE ajal toimuv tõrge tähendab tavaliselt, et UDP 500 või 4500 ei jõudnud kunagi serverini, või et server asub NAT-i taga ilma vastava kapseldusseadeta. Volituste küsimuseni jõudmine ja seal ebaõnnestumine on PPP-autentimise probleem, mitte IPsec-i probleem. Tunneli, mis tõuseb ja ei jõua kuhugi, on marsruutimise või jagatud tunneli viga, ja neist kolmest asub VPN-profiilis ainult esimene.

Sertifikaadiprofiilid lisavad oma etapi. Klient peab usaldama väljaandjat ja sertifikaat peab nimetama valideeritava serveri; kui kumbki tingimus ei täitu, teatab dialoog siiski algse läbirääkimise veast, seega sündmustelogi on koht, kus tegelik põhjus ilmub. Lugege logikirjet enne profiili muutmist, sest dialoog surub mitu erinevat tõrget ühte lausesse. Aegunud sertifikaat tekitab sama dialoogi nagu keelatud teenus, ja seetõttu on logikirje oluline.

Märkige iga katse puhul ebaõnnestuv etapp, veateks ja ajatempel. Need kolm välja eraldavad kättesaadavusprobleemi autentimisprobleemist ja marsruutimisprobleemist ning muudavad järgmise muudatuse otsuseks oletuse asemel.

Mida kohalik parandus tõestada ei saa

Teenuse taastamine parandab poole teest, mis asub sülearvutis. Töötav teenus tõestab ainult kohalikku poolt: kaugpool peab endiselt aktsepteerima valitud ettepanekut, antud volitusi ja lähteaadressi, kust pakett saabub. Miski, mida sülearvutis tehakse, ei korva tulemüüri, mis viskab UDP 500 kõrvale enne, kui see jõuab partnerini. Õnnestunud teenuse olek on eeltingimus, mitte tõestus, et tunnel tõuseb.

IKEEXT-i keelamine portide vabastamiseks on õigustatud ainult siis, kui nõustute, et Windowsi IPsec-VPN-id lakkavad töötamast. See lahendab pordikonflikti, eemaldades funktsiooni, mis porti vajas, ja see on harva see vahetus, mida kasutaja kavatses. Enne millegi muutmist kinnitage, et teenus on olemas, seatud Automatic peale ja töötab, et teist IPsec-virna ei ole installitud ja et eeljagatud võti või sertifikaadiahel vastab lüüsile.

  • IKEEXT on olemas, seatud Automatic peale ja töötab enne, kui klient ühendub.
  • Mitte miski muu ei hoia UDP 500 või 4500 hõivatuna.
  • Vanast kliendist ei jää teist IPsec-virna.
  • Võti või sertifikaadiahel vastab lüüsi konfiguratsioonile.
  • Ebaõnnestunud etapp märgiti enne profiili muutmist.

Seotud artiklid