L2TP/IPsec non funziona quando il servizio IKEEXT è disabilitato

Un portatile raggiunge un gateway IKEv2 ma fallisce contro uno L2TP/IPsec, e l'errore arriva prima che venga inviato qualsiasi nome utente. Il profilo è di solito il primo sospetto e di solito quello sbagliato. Windows esegue lo scambio di chiavi IPsec in un servizio, e finché quel servizio è disabilitato il client integrato non ha una pila con cui negoziare. Controllate il servizio prima di toccare un solo campo del profilo e poi scoprite cosa lo ha disabilitato.

Il servizio dietro il guasto

IKE and AuthIP IPsec Keying Modules, mostrato come IKEEXT nell'elenco dei servizi, esegue lo scambio di chiavi e mantiene le socket UDP 500 e 4500 su Windows. Disabilitatelo e sia L2TP/IPsec sia IKEv2 perdono il loro negoziatore, mentre PPTP e SSTP possono continuare a funzionare perché non ne dipendono. Questa divisione spiega perché un utente può segnalare che un tipo di VPN funziona e un altro è morto sulla stessa macchina. Il servizio fa parte del sistema operativo, quindi nessuna impostazione del profilo può sostituirlo.

Liberare quelle due porte è l'effetto collaterale che produce i cattivi consigli. Uno strumento o un messaggio di forum nota che 500 e 4500 sono occupate, ferma il servizio per liberarle e così rimuove silenziosamente IPsec dall'host. I due effetti sono un'unica azione, quindi qualsiasi guida che consigli di liberare le porte descrive uno scambio e non una riparazione.

Rimettere a posto il servizio senza tirare a indovinare

Ponete due domande al gestore dei servizi: qual è il tipo di avvio e qual è lo stato attuale. La prima dice se il servizio tornerà dopo un riavvio; la seconda se è in esecuzione adesso. Eseguite entrambe le query da un prompt elevato, così la stessa shell può cambiare l'impostazione in seguito.

sc qc ikeext
sc query ikeext

Un tipo di avvio Disabled spiega l'intero sintomo, e la soluzione è rimetterlo su Automatic e avviarlo. Nella console Servizi la voce compare con il nome visualizzato, IKE and AuthIP IPsec Keying Modules, quindi cercare IKEEXT in quell'elenco non trova nulla. Riavviate se il servizio è stato avviato dopo che era già stata eseguita una connessione fallita, perché una pila inizializzata in quell'ordine può fallire in modi che sembrano non correlati.

sc config ikeext start= auto
net start ikeext

Cosa lo spegne di nuovo

Alcune suite VPN di terze parti includono una propria implementazione di IPsec e disabilitano IKEEXT durante l'installazione, dopodiché il client di Windows smette di funzionare. Rimuovere l'altro prodotto ha ripristinato L2TP/IPsec su macchine in cui le modifiche al profilo non ottenevano nulla, e lo stesso ha fatto reinstallarlo senza il componente in conflitto. Il servizio è stato disabilitato al momento dell'installazione, non commutato dall'utente.

Anche i criteri di gruppo possono fissare il tipo di avvio; in quel caso una modifica locale viene ripristinata al successivo aggiornamento e l'amministratore proprietario del criterio deve cambiarlo. Annotate il tipo di avvio prima di un riavvio, dopo un riavvio e dopo gli aggiornamenti dell'altro prodotto, ogni volta con la data. Un valore che continua a tornare su Disabled tradisce il suo proprietario dallo schema, non dalle congetture.

Leggete prima la fase, poi il registro

Con il servizio in esecuzione, la fase del guasto decide dove guardare dopo. Un blocco durante IKE di solito significa che UDP 500 o 4500 non ha mai raggiunto il server, oppure che il server è dietro NAT senza l'impostazione di incapsulamento corrispondente. Raggiungere la richiesta di credenziali e fallire lì è un problema di autenticazione PPP, non di IPsec. Un tunnel che si alza e non raggiunge nulla è un guasto di routing o di tunnel diviso, e solo il primo di quei tre vive nel profilo VPN.

I profili con certificato aggiungono una fase propria. Il client deve fidarsi dell'autorità emittente e il certificato deve indicare il server che viene convalidato; quando una delle due condizioni viene meno, la finestra segnala comunque un errore di negoziazione iniziale, quindi il registro eventi è il posto dove compare il motivo reale. Leggete la voce del registro prima di modificare il profilo, perché la finestra comprime diversi guasti distinti in una sola frase. Un certificato scaduto produce la stessa finestra di un servizio disabilitato, ed è per questo che la voce del registro conta.

Annotate la fase che fallisce, il testo dell'errore e la marca temporale di ogni tentativo. Questi tre campi separano un problema di raggiungibilità da uno di autenticazione e da uno di routing, e rendono la modifica successiva una decisione invece di una congettura.

Cosa una riparazione locale non può dimostrare

Ripristinare il servizio sistema la metà del percorso che sta sul portatile. Un servizio funzionante dimostra solo la metà locale: l'estremità remota deve ancora accettare la proposta scelta, le credenziali fornite e l'indirizzo di origine da cui arriva il pacchetto. Nulla di ciò che si fa sul portatile compensa un firewall che scarta UDP 500 prima che raggiunga il peer. Uno stato del servizio corretto è un prerequisito, non la prova che il tunnel si alzerà.

Disabilitare IKEEXT per liberare le porte è difendibile solo se si accetta che le VPN IPsec di Windows smettano di funzionare. Risolve un conflitto di porte rimuovendo la funzionalità che richiedeva la porta, e raramente è lo scambio che l'utente intendeva. Prima di cambiare qualcosa, confermate che il servizio esista, sia impostato su Automatic e in esecuzione, che non sia installata una seconda pila IPsec e che la chiave precondivisa o la catena di certificati corrisponda al gateway.

• IKEEXT esiste, è impostato su Automatic ed è in esecuzione prima che il client si connetta.
• Nient'altro occupa UDP 500 o 4500.
• Non resta una seconda pila IPsec di un vecchio client.
• La chiave o la catena di certificati corrisponde alla configurazione del gateway.
• La fase che falliva è stata registrata prima di modificare il profilo.