IKEEXT 서비스가 사용 안 함이면 L2TP/IPsec 연결이 실패합니다

노트북 한 대가 IKEv2 게이트웨이에는 도달하지만 L2TP/IPsec 게이트웨이에서는 실패하며, 어떤 사용자 이름도 보내지기 전에 오류가 발생합니다. 프로필이 보통 첫 번째 용의자이고 보통 틀립니다. Windows는 IPsec 키 교환을 서비스에서 실행하며, 그 서비스가 사용 안 함인 동안 기본 제공 클라이언트에는 협상할 스택이 없습니다. 프로필 필드를 하나라도 건드리기 전에 서비스를 확인하고, 무엇이 이 서비스를 사용 안 함으로 만들었는지 찾아내세요.

실패 뒤에 있는 서비스

서비스 목록에 IKEEXT로 표시되는 IKE and AuthIP IPsec Keying Modules는 키 교환을 수행하고 Windows에서 UDP 500과 4500 소켓을 유지합니다. 이 서비스를 사용 안 함으로 만들면 L2TP/IPsec과 IKEv2 둘 다 협상자를 잃지만, PPTP와 SSTP는 이 서비스에 의존하지 않으므로 계속 작동할 수 있습니다. 이 분리가 바로 같은 컴퓨터에서 한 VPN 유형은 되고 다른 유형은 죽었다고 사용자가 보고할 수 있는 이유입니다. 서비스는 운영 체제의 일부이므로 어떤 프로필 설정도 그것을 대신할 수 없습니다.

이 두 포트를 비우는 것이 잘못된 조언을 낳는 부작용입니다. 어떤 도구나 포럼 글이 500과 4500이 사용 중임을 알아차리고, 그것을 비우려고 서비스를 중지하며, 그 결과 호스트에서 IPsec을 조용히 제거합니다. 두 효과는 한 동작이므로 포트를 정리하라고 권하는 안내서는 수리가 아니라 맞바꿈을 설명하는 셈입니다.

추측 없이 서비스를 되돌리기

서비스 관리자에게 두 가지를 묻습니다. 시작 유형은 무엇인지, 현재 상태는 무엇인지. 앞의 것은 다시 시작한 뒤 서비스가 돌아오는지를, 뒤의 것은 지금 실행 중인지를 알려 줍니다. 두 질의를 관리자 권한 명령 프롬프트에서 실행해 같은 셸에서 설정을 바꿀 수 있게 하세요.

sc qc ikeext
sc query ikeext

시작 유형이 Disabled이면 증상이 전부 설명되며, 해결책은 Automatic으로 되돌리고 서비스를 시작하는 것입니다. 서비스 콘솔에서는 표시 이름 IKE and AuthIP IPsec Keying Modules로 항목이 나타나므로, 그 목록에서 IKEEXT를 검색해도 아무것도 찾지 못합니다. 실패한 연결이 이미 실행된 뒤에 서비스를 시작했다면 다시 시작하세요. 그 순서로 초기화된 스택은 무관해 보이는 방식으로 실패할 수 있습니다.

sc config ikeext start= auto
net start ikeext

무엇이 다시 꺼 버리는가

일부 타사 VPN 제품군은 자체 IPsec 구현을 넣고 설치 중에 IKEEXT를 사용 안 함으로 만들어, 그 뒤로 Windows 클라이언트가 작동하지 않습니다. 프로필 편집이 아무 효과도 없던 컴퓨터에서 다른 제품을 제거하자 L2TP/IPsec이 복구되었고, 충돌하는 구성 요소 없이 다시 설치한 경우도 마찬가지였습니다. 서비스는 설치 시점에 사용 안 함이 되었지, 사용자가 바꾼 것이 아닙니다.

그룹 정책도 시작 유형을 고정할 수 있습니다. 그런 경우 로컬 변경은 다음 새로 고침에서 되돌려지고, 정책을 소유한 관리자가 바꿔야 합니다. 다시 시작 전, 다시 시작 후, 다른 제품이 업데이트된 후에 시작 유형을 매번 날짜와 함께 기록하세요. 계속 Disabled로 돌아오는 값은 추측이 아니라 패턴으로 주인을 드러냅니다.

먼저 단계를 읽고, 다음에 로그를 읽기

서비스가 실행 중이면 실패의 단계가 다음에 어디를 볼지 정합니다. IKE 중 멈춤은 보통 UDP 500이나 4500이 서버에 닿지 못했거나, 서버가 맞는 캡슐화 설정 없이 NAT 뒤에 있다는 뜻입니다. 자격 증명 프롬프트까지 가서 거기서 실패하는 것은 PPP 인증 문제이며 IPsec 문제가 아닙니다. 터널이 올라오는데 아무것도 닿지 않는다면 라우팅이나 분할 터널의 결함이고, 그 셋 중 첫 번째만 VPN 프로필에 있습니다.

인증서 프로필은 고유한 단계를 더합니다. 클라이언트는 발급 기관을 신뢰해야 하고 인증서는 검증되는 서버를 명시해야 합니다. 둘 중 하나라도 충족되지 않으면 대화 상자는 여전히 초기 협상 오류를 알리므로, 진짜 이유는 이벤트 로그에 나타납니다. 프로필을 편집하기 전에 로그 항목을 읽으세요. 대화 상자는 여러 가지 다른 실패를 한 문장으로 압축하기 때문입니다. 만료된 인증서는 사용 안 함인 서비스와 같은 대화 상자를 내므로 로그 항목이 중요한 것입니다.

시도마다 실패한 단계, 오류 텍스트, 타임스탬프를 기록하세요. 이 세 필드가 도달성 문제와 인증 문제와 라우팅 문제를 구분해 주고, 다음 변경을 추측이 아닌 판단으로 만들어 줍니다.

로컬 수리가 증명할 수 없는 것

서비스를 되돌리는 것은 노트북에 있는 경로의 절반을 고칠 뿐입니다. 작동하는 서비스는 로컬 절반만 증명합니다. 원격 쪽은 여전히 선택한 제안, 제공한 자격 증명, 패킷이 도착하는 원본 주소를 받아들여야 합니다. 노트북에서 하는 어떤 것도 피어에 닿기 전에 UDP 500을 버리는 방화벽을 보상하지 못합니다. 서비스 상태가 정상이라는 것은 전제 조건이지 터널이 올라온다는 증거가 아닙니다.

포트를 비우기 위해 IKEEXT를 사용 안 함으로 만드는 것은 Windows의 IPsec VPN이 작동을 멈춘다는 점을 받아들일 때만 정당화됩니다. 포트가 필요했던 기능을 없애서 포트 충돌을 푸는 것이고, 그것은 사용자가 의도한 맞바꿈인 경우가 드뭅니다. 무엇이든 바꾸기 전에 서비스가 있고 Automatic으로 설정되어 실행 중인지, 두 번째 IPsec 스택이 설치되어 있지 않은지, 미리 공유한 키나 인증서 체인이 게이트웨이와 일치하는지 확인하세요.

• IKEEXT가 있고 Automatic으로 설정되어 클라이언트가 연결하기 전에 실행 중입니다.
• 다른 무엇도 UDP 500이나 4500을 잡고 있지 않습니다.
• 오래된 클라이언트에서 두 번째 IPsec 스택이 남아 있지 않습니다.
• 키 또는 인증서 체인이 게이트웨이 구성과 일치합니다.
• 실패한 단계는 프로필을 편집하기 전에 기록되었습니다.