L2TP/IPsec mislearret as de IKEEXT-tsjinst útskeakele is

Ien laptop berikt in IKEv2-gateway mar mislearret by in L2TP/IPsec-ien, en de flater komt foardat der in brûkersnamme ferstjoerd wurdt. It profyl is meastal de earste fertochte en meastal de ferkearde. Windows docht IPsec-kaaiútwikseling yn in tsjinst, en wylst dy tsjinst útskeakele is, hat de ynboude klant gjin stack om mei te ûnderhanneljen. Befêstigje de tsjinst foardat jo ien profylfjild oanreitsje, en sykje dan út wat him útskeakele hat.

De tsjinst efter de flater

IKE and AuthIP IPsec Keying Modules, yn 'e tsjinstelist as IKEEXT sjen litten, fiert de kaaiútwikseling út en hâldt op Windows de sockets UDP 500 en 4500. Skeakelje him út en L2TP/IPsec en IKEv2 ferlieze beide har ûnderhannelder, wylst PPTP en SSTP trochwurkje kinne omdat se der net fan ôfhinklik binne. Dy splitsing is wêrom't in brûker melde kin dat it iene VPN-type wurket en it oare op deselde masine dea is. De tsjinst is diel fan it bestjoeringssysteem, dus gjin profylynstelling kin him ferfange.

Dy twa poarten frijmakke is it byeffekt dat minne ried jout. In helpmiddel of in forumberjocht merkt dat 500 en 4500 beset binne, stoppet de tsjinst om se frij te meitsjen, en ferwideret stilwei IPsec fan 'e host. De twa effekten binne ien hanneling, dus elke gids dy't oanriedt de poarten frij te meitsjen, beskriuwt in ruil ynstee fan in reparaasje.

Set de tsjinst werom sûnder te rieden

Stel de tsjinstbehearder twa fragen: wat is it opstarttype, en wat is de hjoeddeiske tastân. It earste fertelt oft de tsjinst nei in werstart weromkomt; it twadde oft er no rint. Fier beide queries út fanôf in ferhege opdrachtprompt, sadat deselde shell dêrnei de ynstelling feroarje kin.

sc qc ikeext
sc query ikeext

In opstarttype Disabled ferklearret it hiele symptoom, en de oplossing is om it werom te setten op Automatic en de tsjinst te starten. Yn 'e Services-konsole ferskynt de ynfier ûnder syn werjefnamme, IKE and AuthIP IPsec Keying Modules, dus sykje nei IKEEXT yn dy list fynt neat. Werstart as de tsjinst pas start is neidat der al in mislearre ferbining rûn hie, want in stack dy't yn dy folchoarder initialisearre is, kin mislearje op manearen dy't ûnbesibbe lykje.

sc config ikeext start= auto
net start ikeext

Wat him wer útskeakelet

Guon VPN-suites fan tredden leverje har eigen IPsec-ymplemintaasje en skeakelje IKEEXT by de ynstallaasje út, wêrnei't de Windows-klant ophâldt te wurkjen. It fuortheljen fan it oare produkt hat L2TP/IPsec wersteld op masines dêr't profylwizigings neat dienen, en itselde jildt foar it opnij ynstallearjen sûnder de konfliktende komponint. De tsjinst waard by de ynstallaasje útskeakele, net troch de brûker omset.

Groepsbelied kin it opstarttype ek fêstsette; yn dat gefal wurdt in lokale feroaring by de folgjende ferfarsking weromdraaid en moat de behearder dy't it belied besit it oanpasse. Skriuw it opstarttype op foar in werstart, nei in werstart en nei updates fan it oare produkt, elke kear mei de datum. In wearde dy't hieltyd weromkomt nei Disabled ferrielet syn eigner troch it patroan, net troch rieden.

Lês earst de faze, dan it logboek

As de tsjinst rint, beslút de faze fan 'e flater wêr't jo folgjende sjen moatte. In fêstrinnen by IKE betsjut meast dat UDP 500 of 4500 de tsjinner nea berikt hat, of dat de tsjinner efter NAT sit sûnder de byhearrende ynkapselingsynstelling. De oanmeldprompt berikke en dêr mislearje is in PPP-autentikaasjeprobleem, gjin IPsec-probleem. In tunnel dy't opkomt en neat berikt is in routerings- of split-tunnelflater, en allinnich de earste fan dy trije sit yn it VPN-profyl.

Sertifikaatprofilen foegje in eigen faze ta. De klant moat de útjouwende autoriteit fertrouwe en it sertifikaat moat de tsjinner beneame dy't falidearre wurdt; as ien fan beide betingsten mislearret, meldt de dialooch noch altyd in flater yn 'e earste ûnderhanneling, dus it evenemintelogboek is it plak dêr't de wiere reden ferskynt. Lês de logrigel foardat jo it profyl bewurkje, want de dialooch prestearret ferskate aparte flaters yn ien sin. In ferrûn sertifikaat jout deselde dialooch as in útskeakele tsjinst, en dêrom docht de logrigel der ta.

Skriuw foar elke poging de mislearre faze, de flatertekst en de tiidstimpel op. Dy trije fjilden skiede in berikberensprobleem fan in autentikaasjeprobleem en fan in routeringsprobleem, en se meitsje de folgjende feroaring in beslút ynstee fan in ried.

Wat in lokale reparaasje net bewize kin

It werstellen fan 'e tsjinst ferhelpt de helte fan it paad dat op 'e laptop leit. In wurkjende tsjinst bewiist allinnich de lokale helte: de fierre kant moat noch altyd it keazen foarstel, de oanleine ynlochgegevens en it boarneadres dêr't it pakket wei komt, akseptearje. Neat wat op 'e laptop dien wurdt, kompensearret in firewall dy't UDP 500 weismyt foardat it de peer berikt. In slagge tsjinsttastân is in betingst, gjin bewiis dat de tunnel ta stân komt.

IKEEXT útskeakelje om de poarten frij te meitsjen is allinnich te ferdedigjen as jo akseptearje dat Windows-IPsec-VPN's ophâlde te wurkjen. It lost in poartekonflikt op troch de funksje fuort te heljen dy't de poarte nedich hie, en dat is selden de ruil dy't de brûker bedoelde. Befêstigje foardat jo wat feroarje dat de tsjinst oanwêzich is, op Automatic stiet en rint, dat der gjin twadde IPsec-stack ynstallearre is, en dat de foarôf dielde kaai of sertifikaatkeatling by de gateway past.

• IKEEXT is oanwêzich, stiet op Automatic en rint foardat de klant ferbynt.
• Neat oars hâldt UDP 500 of 4500 beset.
• Der bliuwt gjin twadde IPsec-stack fan in âlde klant oer.
• De kaai of sertifikaatkeatling past by de gateway-konfiguraasje.
• De mislearre faze is fêstlein foardat it profyl bewurke waard.