L2TP/IPsec nepavyksta, kai paslauga IKEEXT išjungta

Vienas nešiojamasis kompiuteris pasiekia IKEv2 šliuzą, bet nepavyksta prie L2TP/IPsec šliuzo, ir klaida atsiranda prieš išsiunčiant bet kokį vartotojo vardą. Profilis paprastai yra pirmasis įtariamasis ir paprastai neteisingas. „Windows“ atlieka IPsec raktų mainus paslaugoje, o kol ta paslauga išjungta, integruotas klientas neturi dėklo, su kuriuo galėtų derėtis. Patikrinkite paslaugą prieš paliesdami nors vieną profilio lauką ir tada išsiaiškinkite, kas ją išjungė.

Paslauga, slypinti už gedimo

IKE and AuthIP IPsec Keying Modules, paslaugų sąraše rodoma kaip IKEEXT, atlieka raktų mainus ir „Windows“ laiko UDP 500 ir 4500 lizdus. Išjunkite ją ir tiek L2TP/IPsec, tiek IKEv2 netenka savo derybininko, o PPTP ir SSTP gali toliau veikti, nes nuo jos nepriklauso. Šis suskirstymas paaiškina, kodėl vartotojas gali pranešti, kad vienas VPN tipas veikia, o kitas toje pačioje mašinoje yra negyvas. Paslauga yra operacinės sistemos dalis, todėl joks profilio nustatymas negali jos pakeisti.

Šių dviejų prievadų atlaisvinimas yra šalutinis poveikis, sukeliantis blogus patarimus. Įrankis ar forumo įrašas pastebi, kad 500 ir 4500 užimti, sustabdo paslaugą jiems atlaisvinti ir taip tyliai pašalina IPsec iš kompiuterio. Abu padariniai yra vienas veiksmas, todėl bet kuris vadovas, siūlantis išvalyti prievadus, aprašo mainus, o ne taisymą.

Grąžinkite paslaugą be spėlionių

Užduokite paslaugų tvarkyklei du klausimus: koks paleidimo tipas ir kokia dabartinė būsena. Pirmasis pasako, ar paslauga grįš po perkrovimo; antrasis – ar ji veikia dabar. Vykdykite abi užklausas iš padidintų teisių komandinės eilutės, kad ta pati aplinka galėtų vėliau pakeisti nustatymą.

sc qc ikeext
sc query ikeext

Paleidimo tipas Disabled paaiškina visą simptomą, o sprendimas – grąžinti jį į Automatic ir paleisti paslaugą. Paslaugų konsolėje įrašas rodomas jo rodomuoju pavadinimu IKE and AuthIP IPsec Keying Modules, todėl ieškant IKEEXT tame sąraše nieko nerandama. Perkraukite, jei paslauga buvo paleista po to, kai nepavykęs ryšys jau buvo įvykęs, nes tokia tvarka inicijuotas dėklas gali nepavykti taip, kas atrodo nesusiję.

sc config ikeext start= auto
net start ikeext

Kas ją vėl išjungia

Kai kurie trečiųjų šalių VPN rinkiniai pateikia savo IPsec diegimą ir įdiegimo metu išjungia IKEEXT, po to „Windows“ klientas nustoja veikti. Kito produkto pašalinimas atkūrė L2TP/IPsec mašinose, kuriose profilio pakeitimai nieko nedavė, ir taip pat – jo įdiegimas iš naujo be konfliktuojančio komponento. Paslauga buvo išjungta diegimo metu, o ne vartotojo perjungta.

Grupių politika taip pat gali užfiksuoti paleidimo tipą; tokiu atveju vietinis pakeitimas atšaukiamas kitą kartą atnaujinant, o politiką valdantis administratorius turi jį pakeisti. Užsirašykite paleidimo tipą prieš perkrovimą, po perkrovimo ir po kito produkto atnaujinimų, kiekvieną kartą su data. Reikšmė, kuri nuolat grįžta į Disabled, išduoda savininką pagal modelį, o ne spėliojant.

Pirmiausia skaitykite etapą, paskui žurnalą

Kai paslauga veikia, gedimo etapas nusprendžia, kur ieškoti toliau. Stabdymas IKE metu paprastai reiškia, kad UDP 500 arba 4500 niekada nepasiekė serverio, arba kad serveris yra už NAT be atitinkamo kapsuliavimo nustatymo. Pasiekti prisijungimo duomenų užklausą ir ten nepavykti – tai PPP autentifikavimo problema, o ne IPsec. Tunelis, kuris pakyla ir nieko nepasiekia, yra maršrutizavimo arba padalinto tunelio triktis, ir tik pirmoji iš tų trijų gyvena VPN profilyje.

Profiliams su sertifikatu pridedamas savas etapas. Klientas turi pasitikėti išduodančiąja institucija, o sertifikatas turi įvardyti tikrinamą serverį; jei kuri nors sąlyga nepavyksta, dialogas vis tiek praneša apie pradinio derėjimosi klaidą, todėl įvykių žurnalas yra vieta, kur pasirodo tikroji priežastis. Perskaitykite žurnalo įrašą prieš redaguodami profilį, nes dialogas suspaudžia keletą skirtingų gedimų į vieną sakinį. Pasibaigusio galiojimo sertifikatas sukuria tą patį dialogą kaip išjungta paslauga, todėl žurnalo įrašas yra svarbus.

Užsirašykite nepavykusį etapą, klaidos tekstą ir laiko žymą kiekvienam bandymui. Šie trys laukai atskiria pasiekiamumo problemą nuo autentifikavimo problemos ir nuo maršrutizavimo problemos, ir jie paverčia kitą pakeitimą sprendimu, o ne spėjimu.

Ko vietinis taisymas negali įrodyti

Paslaugos atkūrimas sutvarko tą kelio pusę, kuri yra nešiojamajame kompiuteryje. Veikianti paslauga įrodo tik vietinę pusę: tolimasis galas vis tiek turi priimti pasirinktą pasiūlymą, pateiktus prisijungimo duomenis ir šaltinio adresą, iš kurio atvyksta paketas. Niekas, kas daroma nešiojamajame kompiuteryje, nekompensuoja ugniagesių, kuris išmeta UDP 500 prieš jam pasiekiant partnerį. Sėkminga paslaugos būsena yra išankstinė sąlyga, o ne įrodymas, kad tunelis pakils.

Išjungti IKEEXT norint atlaisvinti prievadus galima pateisinti tik tuo atveju, jei sutinkate, kad „Windows“ IPsec VPN nustos veikti. Tai išsprendžia prievado konfliktą pašalindama funkciją, kuriai reikėjo prievado, ir tai retai yra tie mainai, kurių vartotojas norėjo. Prieš ką nors keisdami patvirtinkite, kad paslauga yra, nustatyta Automatic ir veikia, kad nėra įdiegtas antras IPsec dėklas ir kad iš anksto bendrinamas raktas ar sertifikatų grandinė atitinka šliuzą.

• IKEEXT yra, nustatytas Automatic ir veikia prieš klientui prisijungiant.
• Niekas kitas neužima UDP 500 arba 4500.
• Nuo seno kliento nelieka antro IPsec dėklo.
• Raktas ar sertifikatų grandinė atitinka šliuzo konfigūraciją.
• Nepavykęs etapas buvo užrašytas prieš redaguojant profilį.