L2TP/IPsec schléit fehl, wann den IKEEXT-Dienst deaktivéiert ass

Een Laptop erreecht eng IKEv2-Gateway, awer schléit bei enger L2TP/IPsec-Gateway fehl, an de Feeler kënnt, ier en Benotzernumm fortgeschéckt gëtt. D'Profil ass meeschtens den éischten Verdächtegen an meeschtens dee Falschen. Windows bedreift d'IPsec-Schlësselaustausch an engem Dienst, a wärend deen Dienst deaktivéiert ass, huet den agebaute Client keng Stack, mat där en verhandele kann. Iwwerpréift den Dienst, ier Dir ee Profilfeld beréiert, a fannt dann eraus, wat en deaktivéiert huet.

Den Dienst hannert dem Feeler

IKE and AuthIP IPsec Keying Modules, an der Déngschtleescht als IKEEXT ugewise, mécht den Schlësselaustausch an hält op Windows d'Sockets UDP 500 an 4500. Deaktivéiert en, a L2TP/IPsec an IKEv2 verléieren allebéid hire Verhandler, während PPTP an SSTP weiderlafe kënnen, well se net dovun ofhänken. Dës Deelung ass de Grond, firwat e Benotzer melle kann, datt ee VPN-Typ funktionéiert an en aneren op der selwechter Maschinn dout ass. Den Dienst gehéiert zum Betribssystem, also kann keng Profilastellung en ersetzen.

Déi zwou Porten ze befreien ass den Nieweneffekt, deen schlechten Rot produzéiert. En Tool oder e Forumsbäitrag mierkt, datt 500 an 4500 besat sinn, stoppt den Dienst, fir se ze befreien, a entfernt dobäi roueg IPsec vum Host. Déi zwou Auswierkungen sinn eng eenzeg Aktioun, also beschreift all Guide, dee recommandéiert, d'Porte fräi ze maachen, en Tausch an net eng Reparatur.

Setzt den Dienst zréck, ouni ze roden

Stellt dem Service Manager zwou Froen: wat ass den Starttyp, an a wéi engem Zoustand ass en elo. Déi éischt seet Iech, ob den Dienst no engem Neistart zréckkënnt; déi zweet, ob en elo leeft. Féiert béid Ufroen an enger administrativer Kommandozeil aus, damit déiselwecht Shell duerno d'Astellung ännere kann.

sc qc ikeext
sc query ikeext

En Starttyp Disabled erkläert de ganzen Symptom, an d'Léisung ass, en zréck op Automatic ze setzen an en ze starten. An der Services-Konsole erschéngt den Aschreiwung ënner sengem Uweiseungsnumm, IKE and AuthIP IPsec Keying Modules, also fënnt d'Sich no IKEEXT an där Lëscht näischt. Startt nei, wann den Dienst eréischt gestart gouf, nodeems scho léif eng feelgeschloen Verbindung gelaf war, well eng Stack, déi an där Reihenfolge initialiséiert gouf, op Manéiere fehle kann, déi onzougesetzen ausgesinn.

sc config ikeext start= auto
net start ikeext

Wat en erëm ausschalt

E puer Drëttanbieter-VPN-Suiten liwweren hir eege IPsec-Implementéierung a deaktivéieren IKEEXT wärend der Installatioun, duerno funktionéiert de Windows-Client net méi. D'Entferne vum anere Produkt huet L2TP/IPsec op Maschinne restauréiert, wou Profilännerungen näischt bewierkt hunn, an dat selwecht gëllt fir d'Neiinstallatioun ouni déi konfliktéierend Komponent. Den Dienst gouf bei der Installatioun deaktivéiert, net vum Benotzer ëmgeschalt.

Gruppenrichtlinnen kënnen den Starttyp och festleeën; an deem Fall gëtt eng lokal Ännerung bei der nächster Aktualiséierung zréckgesat, an den Administrateur, deem d'Richtlinn gehéiert, muss se änneren. Notéiert den Starttyp virun engem Neistart, no engem Neistart an no den Aktualiséierunge vum anere Produkt, jee mat Datum. E Wäert, dee stänneg op Disabled zréckkënnt, verréit säin Eegentum duerch d'Muster, net duerch Vermutungen.

Liest d'Etapp, dann de Log

Wann den Dienst leeft, entscheet d'Etapp vum Feeler, wou Dir als nächst kuckt. E Stopp während IKE bedeit meeschtens, datt UDP 500 oder 4500 den Server ni erreecht huet, oder datt de Server hannert NAT sëtzt an d'passend Encapsulation-Astellung feelt. D'Credential-Ufro z'erreechen an do ze scheiteren ass e PPP-Authentifikatiounsproblem, keen IPsec-Problem. En Tunnel, deen opkënnt an näischt erreecht, ass e Routing- oder Split-Tunnel-Fehler, an nëmmen deen éischten vun dësen dräi läit am VPN-Profil.

Zertifikaatprofiler fügen eng eege Etapp bäi. De Client muss der ausstellender Autoritéit vertrauen, an d'Zertifikaat muss de Server nennen, deen validéiert gëtt; wann ee vun deenen zwee Bedingungen feelt, mellt den Dialog nach ëmmer en Initialverhandlungsfehler, also ass den Event-Log dee Plaz, wou de richtegen Grond erschéngt. Liest den Log-Andrag, ier Dir d'Profil ännert, well den Dialog méi verschidde Feeler an ee Saz presst. En ofgelafene Zertifikaat produzéiert deeselwechten Dialog wéi en deaktivéierten Dienst, dofir ass de Log-Andrag wichteg.

Hält d'feelschloen Etapp, den Feelertext an den Zäitstempel fir all Versuch fest. Déi dräi Felder trennen e Reechbarkeetsproblem vun engem Authentifikatiounsproblem a vun engem Routingproblem, an se maachen déi nächst Ännerung zu enger Entscheedung amplaz zu enger Vermutung.

Wat eng lokal Reparatur net beweise kann

D'Restauréiere vum Dienst fixéiert d'Halschecht vum Wee, déi um Laptop läit. En funktionéierenden Dienst beweist nëmmen déi lokal Halschecht: déi aner Säit muss nach ëmmer de gewielte Virschlag, d'ugeliwerten Umeldungsdaten an d'Quelladress akzeptéieren, vun där de Paket kënnt. Näischt, wat um Laptop gemaach gëtt, kompenséiert eng Firewall, déi UDP 500 verwërft, ier et de Peer erreecht. En erfollegräichen Dienszoustand ass eng Viraussetzung, keen Beweis, datt den Tunnel opkënnt.

IKEEXT ze deaktivéieren, fir d'Porte ze befreien, ass nëmmen ze vertrieden, wann Dir akzeptéiert, datt Windows-IPsec-VPNs ophalen ze funktionéieren. Et léist e Portkonflikt, andeem et d'Funktioun entfernt, déi de Port gebraucht huet, an dat ass selten den Tausch, deen de Benotzer wollt. Ier Dir eppes ännert, bestätegt, datt den Dienst do ass, op Automatic gesat ass an leeft, datt keen zweete IPsec-Stack installéiert ass an datt de virgedeelte Schlëssel oder d'Zertifikaatskette bei der Gateway passt.

• IKEEXT ass do, op Automatic gesat an leeft, ier de Client verbënnt.
• Näischt anescht hält UDP 500 oder 4500.
• Keen zweete IPsec-Stack bleift vun engem ale Client.
• De Schlëssel oder d'Zertifikaatskette passt bei d'Gateway-Konfiguratioun.
• D'feelschloen Etapp gouf festgehalen, ier d'Profil geännert gouf.