Az L2TP/IPsec meghiúsul, ha az IKEEXT szolgáltatás le van tiltva

Egy laptop eléri az IKEv2 átjárót, de meghiúsul egy L2TP/IPsec átjáróval szemben, és a hiba azelőtt érkezik, hogy bármilyen felhasználónevet elküldenének. A profil általában az első gyanúsított, és általában a rossz. A Windows az IPsec kulcscserét egy szolgáltatásban futtatja, és amíg ez a szolgáltatás le van tiltva, a beépített ügyfélnek nincs verme, amellyel tárgyalhatna. Ellenőrizze a szolgáltatást, mielőtt egyetlen profilmezőhöz hozzányúlna, majd derítse ki, mi tiltotta le.

A hiba mögötti szolgáltatás

Az IKE and AuthIP IPsec Keying Modules, amely a szolgáltatáslistában IKEEXT néven jelenik meg, végzi a kulcscserét, és a Windows alatt fogja az UDP 500 és 4500 foglalatot. Tiltsa le, és az L2TP/IPsec valamint az IKEv2 is elveszíti a tárgyalóját, miközben a PPTP és az SSTP továbbra is működhet, mert nem függenek tőle. Ez a felosztás magyarázza, miért jelentheti egy felhasználó, hogy az egyik VPN-típus működik, a másik pedig halott ugyanazon a gépen. A szolgáltatás az operációs rendszer része, ezért egyetlen profilbeállítás sem helyettesítheti.

E két port felszabadítása az a mellékhatás, amely rossz tanácsokat szül. Egy eszköz vagy egy fórumbejegyzés észleli, hogy az 500 és a 4500 foglalt, leállítja a szolgáltatást, hogy felszabadítsa őket, és ezzel csendesen eltávolítja az IPsec-et a gazdagépről. A két hatás egyetlen művelet, ezért minden útmutató, amely a portok tisztítását javasolja, cserét ír le, nem javítást.

Tegye vissza a szolgáltatást találgatás nélkül

Tegyen fel két kérdést a szolgáltatáskezelőnek: mi az indítási típus, és mi a jelenlegi állapot. Az első megmondja, visszatér-e a szolgáltatás újraindítás után; a második, hogy fut-e most. Mindkét lekérdezést emelt szintű parancssorból futtassa, hogy ugyanaz a héj később módosíthassa a beállítást.

sc qc ikeext
sc query ikeext

A Disabled indítási típus magyarázza az egész tünetet, és a megoldás az, hogy visszaállítja Automatic értékre, majd elindítja. A Services konzolon a bejegyzés a megjelenített nevén, IKE and AuthIP IPsec Keying Modules néven jelenik meg, így az IKEEXT keresése abban a listában semmit sem talál. Indítson újra, ha a szolgáltatást azután indították el, hogy egy sikertelen kapcsolat már lefutott, mert az ilyen sorrendben inicializált verem olyan módokon hibázhat, amelyek függetlennek tűnnek.

sc config ikeext start= auto
net start ikeext

Mi kapcsolja ki újra

Egyes harmadik féltől származó VPN-csomagok saját IPsec-megvalósítást szállítanak, és a telepítés során letiltják az IKEEXT-et, ami után a Windows ügyfél már nem működik. A másik termék eltávolítása helyreállította az L2TP/IPsec-et azokon a gépeken, ahol a profil módosítása semmit sem ért el, és ugyanezt tette az újratelepítés az ütköző komponens nélkül. A szolgáltatást a telepítéskor tiltották le, nem a felhasználó kapcsolta ki.

A csoportházirend is rögzítheti az indítási típust; ebben az esetben a helyi módosítás a következő frissítéskor visszaáll, és a házirend tulajdonosának kell megváltoztatnia. Jegyezze fel az indítási típust újraindítás előtt, újraindítás után és a másik termék frissítései után, minden alkalommal a dátummal. Az az érték, amely folyton visszatér a Disabled értékre, a mintázat alapján árulja el a tulajdonosát, nem találgatással.

Olvassa el a szakaszt, majd a naplót

Ha a szolgáltatás fut, a hiba szakasza dönti el, hová nézzen tovább. Az IKE alatti megakadás általában azt jelenti, hogy az UDP 500 vagy 4500 soha nem érte el a kiszolgálót, vagy hogy a kiszolgáló NAT mögött van a megfelelő beágyazási beállítás nélkül. A hitelesítő adatok kéréséig eljutni és ott meghiúsulni PPP-hitelesítési probléma, nem IPsec-probléma. Az a alagút, amely feljön és semmit sem ér el, útvonal- vagy osztott alagút-hiba, és e három közül csak az első él a VPN-profilban.

A tanúsítványos profilok saját szakaszt adnak hozzá. Az ügyfélnek meg kell bíznia a kiállító hatóságban, és a tanúsítványnak meg kell neveznie az érvényesített kiszolgálót; ha valamelyik feltétel meghiúsul, a párbeszédablak továbbra is kezdeti tárgyalási hibát jelez, ezért az eseménynapló az a hely, ahol a valódi ok megjelenik. Olvassa el a naplóbejegyzést, mielőtt szerkesztené a profilt, mert a párbeszédablak több különböző hibát présel egyetlen mondatba. A lejárt tanúsítvány ugyanazt a párbeszédablakot produkálja, mint egy letiltott szolgáltatás, ezért számít a naplóbejegyzés.

Jegyezze fel a meghiúsuló szakaszt, a hiba szövegét és az időbélyeget minden kísérletnél. Ez a három mező elválasztja az elérhetőségi problémát a hitelesítési problémától és az útvonalproblémától, és a következő módosítást döntéssé teszi találgatás helyett.

Mit nem tud bizonyítani egy helyi javítás

A szolgáltatás helyreállítása az útvonal azon felét javítja, amely a laptopon van. Egy működő szolgáltatás csak a helyi felet bizonyítja: a távoli végnek továbbra is el kell fogadnia a választott javaslatot, a megadott hitelesítő adatokat és azt a forrás címet, ahonnan a csomag érkezik. Semmi, amit a laptopon tesznek, nem kompenzál egy tűzfalat, amely eldobja az UDP 500-at, mielőtt az elérné a partnert. A sikeres szolgáltatásállapot előfeltétel, nem bizonyíték arra, hogy az alagút feljön.

Az IKEEXT letiltása a portok felszabadításáért csak akkor védhető, ha elfogadja, hogy a Windows IPsec VPN-ek leállnak. Úgy old meg egy portütközést, hogy eltávolítja a funkciót, amelynek a port kellett, és ez ritkán az a csere, amelyet a felhasználó szándékozott. Mielőtt bármit megváltoztatna, erősítse meg, hogy a szolgáltatás jelen van, Automatic értékre van állítva és fut, hogy nincs telepítve második IPsec-verem, és hogy az előmegosztott kulcs vagy a tanúsítványlánc illeszkedik az átjáróhoz.

• Az IKEEXT jelen van, Automatic értékre van állítva és fut, mielőtt az ügyfél csatlakozik.
• Semmi más nem foglalja el az UDP 500-at vagy a 4500-at.
• Nem marad második IPsec-verem egy régi ügyféltől.
• A kulcs vagy a tanúsítványlánc illeszkedik az átjáró konfigurációjához.
• A meghiúsult szakaszt a profil szerkesztése előtt rögzítették.