IKEEXT サービスが無効だと L2TP/IPsec は失敗する

一台のノート PC は IKEv2 ゲートウェイには到達しますが、L2TP/IPsec ゲートウェイでは失敗し、ユーザー名が送られる前にエラーが返ります。プロファイルが最初の容疑者になりがちで、たいていは間違いです。Windows は IPsec の鍵交換をサービスで実行しており、そのサービスが無効な間は、内蔵クライアントに交渉するためのスタックがありません。プロファイルのどのフィールドも触る前にサービスを確認し、何がそれを無効にしたのかを突き止めてください。

失敗の背後にあるサービス

IKE and AuthIP IPsec Keying Modules は、サービスの一覧では IKEEXT として表示され、鍵交換を実行し、Windows 上で UDP 500 と 4500 のソケットを保持します。これを無効にすると L2TP/IPsec も IKEv2 も交渉役を失いますが、PPTP と SSTP は依存していないため動き続けられます。この分かれ方が、同じマシンで一方の VPN は動き他方は死んでいるとユーザーが報告できる理由です。サービスは OS の一部なので、プロファイルの設定では代用できません。

この二つのポートを解放することが、誤った助言を生む副作用です。ツールやフォーラムの投稿が 500 と 4500 が使われていることに気づき、解放するためにサービスを停止し、その結果ホストから IPsec を黙って取り除きます。二つの効果は一つの操作なので、ポートを空けろと勧めるガイドは修理ではなく交換を説明しています。

推測せずにサービスを戻す

サービスマネージャーに二つ尋ねます。開始種類は何か、現在の状態は何か。前者は再起動後にサービスが戻るかを、後者は今動いているかを教えてくれます。両方の問い合わせを管理者権限のコマンドプロンプトから実行し、同じシェルで設定を変更できるようにします。

sc qc ikeext
sc query ikeext

開始種類が Disabled なら症状はすべて説明でき、修正は Automatic に戻して開始することです。サービスコンソールでは表示名 IKE and AuthIP IPsec Keying Modules で項目が現れるので、その一覧で IKEEXT を検索しても何も見つかりません。失敗した接続がすでに走った後にサービスを開始した場合は再起動してください。その順序で初期化されたスタックは、無関係に見える形で失敗することがあります。

sc config ikeext start= auto
net start ikeext

何が再び止めるのか

一部のサードパーティ製 VPN スイートは独自の IPsec 実装を搭載し、インストール時に IKEEXT を無効にするため、その後 Windows クライアントは動かなくなります。プロファイルの編集が何の効果もなかったマシンで、別製品の削除が L2TP/IPsec を復旧させ、競合するコンポーネント抜きの再インストールも同様でした。サービスはインストール時に無効にされたのであり、ユーザーが切り替えたのではありません。

グループポリシーも開始種類を固定できます。その場合、ローカルの変更は次の更新で巻き戻され、ポリシーを所有する管理者が変更する必要があります。再起動前、再起動後、別製品の更新後に開始種類を日付とともに記録します。何度も Disabled に戻る値は、推測ではなくパターンで持ち主を明かします。

まず段階を読み、次にログを読む

サービスが動いていれば、失敗の段階が次にどこを見るかを決めます。IKE 中の停止は通常、UDP 500 か 4500 がサーバーに届いていないか、サーバーが対応するカプセル化設定なしで NAT の背後にあることを意味します。資格情報の入力を求められてそこで失敗するのは PPP 認証の問題で、IPsec ではありません。トンネルが上がっても何にも届かないのは経路か分割トンネルの不具合で、その三つのうち最初のものだけが VPN プロファイルにあります。

証明書プロファイルは独自の段階を追加します。クライアントは発行機関を信頼する必要があり、証明書は検証されるサーバーを示す必要があります。どちらかが満たされないと、ダイアログは依然として初期交渉のエラーを報告するので、本当の理由はイベントログに現れます。プロファイルを編集する前にログの項目を読んでください。ダイアログはいくつもの異なる失敗を一文に圧縮しているからです。期限切れの証明書は、無効なサービスと同じダイアログを出します。だからこそログの項目が重要なのです。

試行ごとに失敗した段階、エラーの文言、タイムスタンプを記録します。これら三つの項目が、到達性の問題と認証の問題と経路の問題を切り分け、次の変更を推測ではなく判断にします。

ローカルの修理が証明できないこと

サービスを戻すのは、ノート PC 側にある経路の半分を直すだけです。動くサービスが証明するのはローカルの半分だけです。遠端は選んだ提案、渡した資格情報、パケットが届く送信元アドレスを依然として受け入れる必要があります。ノート PC 側で何をしても、ピアに届く前に UDP 500 を捨てるファイアウォールを補えません。サービスの正常は前提条件であって、トンネルが上がる証拠ではありません。

ポートを解放するために IKEEXT を無効にするのが正当化されるのは、Windows の IPsec VPN が動かなくなることを受け入れる場合だけです。ポートを必要とした機能を取り除くことでポートの衝突を解消しており、それはユーザーが意図した交換であることはまれです。何かを変える前に、サービスが存在し、Automatic に設定され、動作していること、二つ目の IPsec スタックが入っていないこと、事前共有鍵か証明書チェーンがゲートウェイと一致していることを確認してください。

• クライアントが接続する前に、IKEEXT が存在し、Automatic に設定され、動作しています。
• ほかの何も UDP 500 や 4500 を占有していません。
• 古いクライアントの二つ目の IPsec スタックは残っていません。
• 鍵または証明書チェーンがゲートウェイの設定と一致しています。
• 失敗した段階はプロファイルを編集する前に記録されました。