L2TP/IPsec epäonnistuu, kun IKEEXT-palvelu on poistettu käytöstä

Kannettava tietokone tavoittaa IKEv2-yhdyskäytävän mutta epäonnistuu L2TP/IPsec-yhdyskäytävää vastaan, ja virhe saapuu ennen kuin yhtään käyttäjänimeä lähetetään. Profiili on yleensä ensimmäinen epäilty ja yleensä väärä. Windows suorittaa IPsec-avainten vaihdon palvelussa, ja kun tämä palvelu on poistettu käytöstä, sisäänrakennetulla asiakkaalla ei ole pinoa, jonka kanssa neuvotella. Tarkista palvelu ennen kuin kosket yhteenkään profiilikenttään, ja selvitä sitten, mikä poisti sen käytöstä.

Vian takana oleva palvelu

IKE and AuthIP IPsec Keying Modules, joka näkyy palveluluettelossa nimellä IKEEXT, suorittaa avainten vaihdon ja pitää UDP 500- ja 4500-pistokkeita Windowsissa. Poista se käytöstä, niin sekä L2TP/IPsec että IKEv2 menettävät neuvottelijansa, kun taas PPTP ja SSTP voivat jatkaa toimintaansa, koska ne eivät ole siitä riippuvaisia. Tämä jako selittää, miksi käyttäjä voi raportoida, että yksi VPN-tyyppi toimii ja toinen on kuollut samalla koneella. Palvelu on osa käyttöjärjestelmää, joten mikään profiiliasetus ei voi korvata sitä.

Näiden kahden portin vapauttaminen on se sivuvaikutus, joka tuottaa huonoja neuvoja. Työkalu tai foorumiviesti huomaa, että 500 ja 4500 ovat varattuja, pysäyttää palvelun niiden vapauttamiseksi ja poistaa näin äänettömästi IPsecin isännästä. Molemmat vaikutukset ovat yhtä toimintoa, joten jokainen opas, joka suosittelee porttien tyhjentämistä, kuvaa vaihtokaupan eikä korjauksen.

Palauta palvelu arvaamatta

Kysy palvelunhallinnalta kaksi kysymystä: mikä on käynnistystyyppi ja mikä on nykyinen tila. Ensimmäinen kertoo, palaako palvelu uudelleenkäynnistyksen jälkeen; toinen, onko se käynnissä nyt. Suorita molemmat kyselyt korotetusta komentokehotteesta, jotta sama kuori voi muuttaa asetusta myöhemmin.

sc qc ikeext
sc query ikeext

Käynnistystyyppi Disabled selittää koko oireen, ja korjaus on palauttaa se Automatic-tilaan ja käynnistää palvelu. Palvelut-konsolissa merkintä näkyy näyttönimellään IKE and AuthIP IPsec Keying Modules, joten IKEEXT-haku siinä luettelossa ei löydä mitään. Käynnistä uudelleen, jos palvelu käynnistettiin vasta sen jälkeen, kun epäonnistunut yhteys oli jo ehtinyt käydä, koska tässä järjestyksessä alustettu pino voi epäonnistua tavoilla, jotka näyttävät liittymättömiltä.

sc config ikeext start= auto
net start ikeext

Mikä sammuttaa sen taas

Jotkin kolmannen osapuolen VPN-ohjelmistopaketit toimittavat oman IPsec-toteutuksensa ja poistavat IKEEXT:n käytöstä asennuksen aikana, minkä jälkeen Windows-asiakas lakkaa toimimasta. Toisen tuotteen poistaminen on palauttanut L2TP/IPsecin koneilla, joilla profiilimuutokset eivät saaneet mitään aikaan, ja samoin sen uudelleenasennus ilman ristiriitaista komponenttia. Palvelu poistettiin käytöstä asennushetkellä, ei käyttäjän toimesta.

Myös ryhmäkäytäntö voi kiinnittää käynnistystyypin; silloin paikallinen muutos palautetaan seuraavassa päivityksessä ja käytännön omistavan ylläpitäjän on muutettava sitä. Kirjaa käynnistystyyppi ennen uudelleenkäynnistystä, sen jälkeen ja toisen tuotteen päivitysten jälkeen, joka kerta päivämäärän kanssa. Arvo, joka palaa jatkuvasti Disabled-tilaan, paljastaa omistajansa kuvion perusteella, ei arvailulla.

Lue ensin vaihe, sitten loki

Kun palvelu on käynnissä, vian vaihe ratkaisee, mihin katsoa seuraavaksi. IKE:n aikana tapahtuva pysähdys tarkoittaa yleensä, että UDP 500 tai 4500 ei koskaan saavuttanut palvelinta, tai että palvelin on NAT:n takana ilman vastaavaa kapselointiasetusta. Tunnistetietojen kyselyn saavuttaminen ja siinä epäonnistuminen on PPP-todennusongelma, ei IPsec-ongelma. Tunneli, joka nousee eikä tavoita mitään, on reititys- tai jaetun tunnelin vika, ja vain ensimmäinen näistä kolmesta sijaitsee VPN-profiilissa.

Varmenneprofiilit lisäävät oman vaiheensa. Asiakkaan on luotettava myöntävään viranomaiseen ja varmenteen on nimettävä validoitava palvelin; kun jompikumpi ehto pettää, valintaikkuna ilmoittaa silti alkuvaiheen neuvotteluvirheen, joten tapahtumaloki on paikka, jossa todellinen syy näkyy. Lue lokimerkintä ennen profiilin muokkaamista, koska valintaikkuna puristaa useita eri vikoja yhteen lauseeseen. Vanhentunut varmenne tuottaa saman valintaikkunan kuin poistettu palvelu, ja siksi lokimerkinnällä on merkitystä.

Kirjaa epäonnistuva vaihe, virheteksti ja aikaleima jokaisesta yrityksestä. Nämä kolme kenttää erottavat saavutettavuusongelman todennusongelmasta ja reititysongelmasta, ja ne tekevät seuraavasta muutoksesta päätöksen arvailun sijaan.

Mitä paikallinen korjaus ei voi todistaa

Palvelun palauttaminen korjaa sen puolen reitistä, joka on kannettavassa tietokoneessa. Toimiva palvelu todistaa vain paikallisen puolen: etäpään on edelleen hyväksyttävä valittu ehdotus, annetut tunnistetiedot ja lähdeosoite, josta paketti saapuu. Mikään kannettavassa tietokoneessa tehty ei korvaa palomuuria, joka hylkää UDP 500:n ennen kuin se saavuttaa vastapuolen. Onnistunut palvelutila on ennakkoehto, ei todiste siitä, että tunneli nousee.

IKEEXT:n poistaminen käytöstä porttien vapauttamiseksi on perusteltua vain, jos hyväksyt, että Windowsin IPsec-VPN-yhteydet lakkaavat toimimasta. Se ratkaisee porttiristiriidan poistamalla ominaisuuden, joka porttia tarvitsi, ja se on harvoin se vaihtokauppa, jota käyttäjä tarkoitti. Ennen kuin muutat mitään, varmista, että palvelu on olemassa, asetettu Automatic-tilaan ja käynnissä, että toista IPsec-pinoa ei ole asennettu ja että ennalta jaettu avain tai varmenneketju vastaa yhdyskäytävää.

• IKEEXT on olemassa, asetettu Automatic-tilaan ja käynnissä ennen kuin asiakas yhdistää.
• Mikään muu ei pidä UDP 500:tä tai 4500:aa varattuna.
• Vanhasta asiakkaasta ei jää toista IPsec-pinoa.
• Avain tai varmenneketju vastaa yhdyskäytävän kokoonpanoa.
• Epäonnistunut vaihe kirjattiin ennen profiilin muokkaamista.