L2TP/IPsec נכשל כששירות IKEEXT מושבת

מחשב נייד אחד מגיע לשער IKEv2 אך נכשל מול שער L2TP/IPsec, ו- השגיאה מופיעה לפני שנשלח שם משתמש כלשהו. הפרופיל הוא בדרך כלל החשוד הראשון ובדרך כלל הלא נכון. Windows מריץ את החלפת מפתחות IPsec בשירות, וכל עוד השירות הזה מושבת, ללקוח המובנה אין מחסנית איתה לנהל משא ומתן. בדקו את השירות לפני שאתם נוגעים ולו בשדה אחד בפרופיל, ואז גלו מה השבית אותו.

השירות שמאחורי הכשל

IKE and AuthIP IPsec Keying Modules, המוצג כ-IKEEXT ברשימת השירותים, מבצע את החלפת המפתחות ומחזיק את שקעי UDP 500 ו-4500 ב-Windows. השביתו אותו, וגם L2TP/IPsec וגם IKEv2 יאבדו את מנהל המשא ומתן שלהם, בעוד PPTP ו-SSTP יכולים להמשיך לעבוד משום שאינם תלויים בו. הפיצול הזה מסביר מדוע משתמש יכול לדווח שסוג VPN אחד עובד והאחר מת באותה מכונה. השירות הוא חלק ממערכת ההפעלה, ולכן שום הגדרת פרופיל לא יכולה להחליף אותו.

שחרור שני הפורטים האלה הוא תופעת הלוואי שמייצרת עצות גרועות. כלי או פוסט בפורום מבחין ש-500 ו-4500 תפוסים, עוצר את השירות כדי לשחרר אותם, ובכך מסיר בשקט את IPsec מהמארח. שתי ההשפעות הן פעולה אחת, ולכן כל מדריך שממליץ לפנות את הפורטים מתאר עסקה ולא תיקון.

החזירו את השירות בלי לנחש

שאלו את מנהל השירותים שתי שאלות: מה סוג האתחול, ומה המצב הנוכחי. הראשונה אומרת אם השירות יחזור לאחר הפעלה מחדש; השנייה אם הוא פועל כעת. הריצו את שתי השאילתות משורת פקודה מוגברת כדי שאותה מעטפת תוכל לשנות את ההגדרה לאחר מכן.

sc qc ikeext
sc query ikeext

סוג אתחול Disabled מסביר את כל התסמין, והפתרון הוא להחזיר אותו ל-Automatic ולהפעיל את השירות. בקונסולת Services הרשומה מופיעה בשם התצוגה שלה, IKE and AuthIP IPsec Keying Modules, ולכן חיפוש IKEEXT ברשימה הזו לא מוצא דבר. הפעילו מחדש אם השירות הופעל רק לאחר שחיבור כושל כבר רץ, משום שמחסנית שאותחלה בסדר הזה עלולה להיכשל בדרכים שנראות לא קשורות.

sc config ikeext start= auto
net start ikeext

מה מכבה אותו שוב

חלק מחבילות VPN של צד שלישי כוללות מימוש IPsec משלהן ומשביתות את IKEEXT במהלך ההתקנה, ולאחר מכן לקוח Windows מפסיק לעבוד. הסרת המוצר האחר החזירה את L2TP/IPsec במכונות שבהן עריכות הפרופיל לא השיגו דבר, וכך גם התקנה מחדש בלי הרכיב המתנגש. השירות הושבת בזמן ההתקנה, ולא הוחלף על ידי המשתמש.

גם מדיניות קבוצה יכולה להצמיד את סוג האתחול; במקרה כזה שינוי מקומי מוחזר בהתרעננות הבאה, והמנהל שבבעלותו המדיניות חייב לשנות אותה. תעדו את סוג האתחול לפני הפעלה מחדש, אחריה ואחרי עדכוני המוצר האחר, עם התאריך בכל פעם. ערך שחוזר שוב ושוב ל-Disabled מסגיר את בעליו לפי התבנית, לא לפי ניחוש.

קראו את השלב, ואז את היומן

כשהשירות פועל, שלב הכשל קובע היכן להסתכל הלאה. עצירה במהלך IKE פירושה בדרך כלל ש-UDP 500 או 4500 מעולם לא הגיעו לשרת, או שהשרת נמצא מאחורי NAT בלי הגדרת העטיפה המתאימה. הגעה להנחיית ההזדהות וכשל שם היא בעיית אימות PPP, לא בעיית IPsec. מנהרה שעולה ולא מגיעה לשום דבר היא תקלת ניתוב או מנהרה מפוצלת, ורק הראשונה משלוש אלה נמצאת בפרופיל ה-VPN.

פרופילים עם תעודה מוסיפים שלב משלהם. הלקוח חייב לסמוך על הרשות המנפיקה והתעודה חייבת לנקוב בשם השרת המאומת; כשאחד משני התנאים נכשל, הדיאלוג עדיין מדווח על שגיאת משא ומתן ראשונית, ולכן יומן האירועים הוא המקום שבו הסיבה האמיתית מופיעה. קראו את רשומת היומן לפני עריכת הפרופיל, משום שהדיאלוג דוחס כמה כשלים שונים למשפט אחד. תעודה שפג תוקפה מפיקה את אותו דיאלוג כמו שירות מושבת, ולכן רשומת היומן חשובה.

תעדו את השלב הכושל, את טקסט השגיאה ואת חותמת הזמן לכל ניסיון. שלושת השדות האלה מפרידים בין בעיית נגישות לבעיית אימות ולבעיית ניתוב, והם הופכים את השינוי הבא להחלטה במקום לניחוש.

מה תיקון מקומי לא יכול להוכיח

החזרת השירות מתקנת את החצי של המסלול שנמצא במחשב הנייד. שירות עובד מוכיח רק את החצי המקומי: הצד המרוחק עדיין חייב לקבל את ההצעה שנבחרה, את פרטי ההזדהות שנמסרו ואת כתובת המקור שממנה מגיעה החבילה. שום דבר שנעשה במחשב הנייד לא מפצה על חומת אש שזורקת UDP 500 לפני שהוא מגיע לעמית. מצב שירות מוצלח הוא תנאי מוקדם, לא הוכחה שהמנהרה תעלה.

השבתת IKEEXT כדי לשחרר את הפורטים מוצדקת רק אם אתם מקבלים ש-VPN של IPsec ב-Windows מפסיקים לעבוד. היא פותרת התנגשות פורטים על ידי הסרת התכונה שנזקקה לפורט, וזה לעתים רחוקות העסקה שהמשתמש התכוון אליה. לפני שתשנו משהו, ודאו שהשירות קיים, מוגדר ל-Automatic ופועל, שלא מותקנת מחסנית IPsec שנייה, ושהמפתח המשותף מראש או שרשרת התעודות תואמים לשער.

• IKEEXT קיים, מוגדר ל-Automatic ופועל לפני שהלקוח מתחבר.
• שום דבר אחר לא מחזיק את UDP 500 או 4500.
• לא נשארת מחסנית IPsec שנייה מלקוח ישן.
• המפתח או שרשרת התעודות תואמים לתצורת השער.
• השלב הכושל תועד לפני עריכת הפרופיל.