L2TP/IPsec neizdodas, ja pakalpojums IKEEXT ir atspējots

Viens klēpjdators sasniedz IKEv2 vārteju, bet neizdodas pret L2TP/IPsec vārteju, un kļūda parādās pirms jebkāda lietotājvārda nosūtīšanas. Profils parasti ir pirmais aizdomās turamais un parasti nepareizais. Windows veic IPsec atslēgu apmaiņu pakalpojumā, un, kamēr šis pakalpojums ir atspējots, iebūvētajam klientam nav steka, ar ko sarunāties. Pārbaudiet pakalpojumu, pirms pieskaraties kaut vienam profila laukam, un pēc tam noskaidrojiet, kas to atspējoja.

Pakalpojums aiz kļūmes

IKE and AuthIP IPsec Keying Modules, kas pakalpojumu sarakstā parādās kā IKEEXT, veic atslēgu apmaiņu un Windows vidē tur UDP 500 un 4500 ligzdas. Atspējojiet to, un gan L2TP/IPsec, gan IKEv2 zaudē savu sarunu vedēju, kamēr PPTP un SSTP var turpināt darboties, jo tie no tā nav atkarīgi. Šis dalījums izskaidro, kāpēc lietotājs var ziņot, ka viens VPN veids darbojas, bet otrs tajā pašā mašīnā ir miris. Pakalpojums ir operētājsistēmas daļa, tāpēc neviens profila iestatījums to nevar aizstāt.

Šo divu portu atbrīvošana ir blakusefekts, kas rada sliktus padomus. Rīks vai foruma ieraksts pamana, ka 500 un 4500 ir aizņemti, aptur pakalpojumu, lai tos atbrīvotu, un tādējādi klusējot noņem IPsec no resursdatora. Abi efekti ir viena darbība, tāpēc jebkurš ceļvedis, kas iesaka notīrīt portus, apraksta apmaiņu, nevis labojumu.

Atgrieziet pakalpojumu bez minējumiem

Uzdodiet pakalpojumu pārvaldniekam divus jautājumus: kāds ir starta tips un kāds ir pašreizējais stāvoklis. Pirmais parāda, vai pakalpojums atgriezīsies pēc pārstartēšanas; otrais – vai tas darbojas tagad. Izpildiet abus vaicājumus paaugstinātā komandu uzvednē, lai tā pati čaula pēc tam varētu mainīt iestatījumu.

sc qc ikeext
sc query ikeext

Starta tips Disabled izskaidro visu simptomu, un risinājums ir atgriezt to uz Automatic un palaist pakalpojumu. Pakalpojumu konsolē ieraksts parādās ar savu attēlojamo nosaukumu IKE and AuthIP IPsec Keying Modules, tāpēc IKEEXT meklēšana šajā sarakstā neko neatrod. Pārstartējiet, ja pakalpojums tika palaists tikai pēc tam, kad neizdevies savienojums jau bija noticis, jo šādā secībā inicializēts steks var neizdoties tā, kas šķiet nesaistīti.

sc config ikeext start= auto
net start ikeext

Kas to atkal izslēdz

Daži trešo pušu VPN komplekti piegādā savu IPsec ieviešanu un instalācijas laikā atspējo IKEEXT, pēc tam Windows klients pārstāj darboties. Otra produkta noņemšana ir atjaunojusi L2TP/IPsec mašīnās, kur profila izmaiņas neko nedeva, un tāpat arī tā pārinstalēšana bez konfliktējošās komponentes. Pakalpojums tika atspējots instalācijas laikā, nevis lietotāja pārslēgts.

Arī grupu politika var piefiksēt starta tipu; tādā gadījumā vietējā izmaiņa tiek atsaukta nākamajā atjauninājumā, un administratoram, kuram pieder politika, tā ir jāmaina. Pierakstiet starta tipu pirms pārstartēšanas, pēc pārstartēšanas un pēc otra produkta atjauninājumiem, katru reizi ar datumu. Vērtība, kas pastāvīgi atgriežas pie Disabled, nodod savu īpašnieku pēc modeļa, nevis minējumiem.

Vispirms lasiet posmu, pēc tam žurnālu

Kad pakalpojums darbojas, kļūmes posms nosaka, kur skatīties tālāk. Iesprūšana IKE laikā parasti nozīmē, ka UDP 500 vai 4500 nekad nesasniedza serveri, vai ka serveris atrodas aiz NAT bez atbilstošā iekapsulēšanas iestatījuma. Pieteikšanās datu pieprasījuma sasniegšana un neizdošanās tur ir PPP autentifikācijas problēma, nevis IPsec. Tunelis, kas paceļas un neko nesasniedz, ir maršrutēšanas vai sadalītā tuneļa kļūda, un tikai pirmā no šīm trim atrodas VPN profilā.

Profiliem ar sertifikātu tiek pievienots savs posms. Klientam ir jāuzticas izdevējiestādei, un sertifikātam ir jānosauc validējamais serveris; ja kāds no abiem nosacījumiem neizdodas, dialogs joprojām ziņo par sākotnējās sarunas kļūdu, tāpēc notikumu žurnāls ir vieta, kur parādās patiesais iemesls. Izlasiet žurnāla ierakstu pirms profila rediģēšanas, jo dialogs saspiež vairākas atšķirīgas kļūmes vienā teikumā. Beidzies sertifikāts rada tādu pašu dialogu kā atspējots pakalpojums, un tāpēc žurnāla ieraksts ir svarīgs.

Pierakstiet neizdevušos posmu, kļūdas tekstu un laika zīmi katram mēģinājumam. Šie trīs lauki atdala sasniedzamības problēmu no autentifikācijas problēmas un no maršrutēšanas problēmas, un tie padara nākamo izmaiņu par lēmumu, nevis minējumu.

Ko vietējais labojums nevar pierādīt

Pakalpojuma atjaunošana salabo to ceļa pusi, kas atrodas klēpjdatorā. Strādājošs pakalpojums pierāda tikai vietējo pusi: attālajam galam joprojām ir jāpieņem izvēlētais priekšlikums, sniegtie pieteikšanās dati un avota adrese, no kuras pienāk pakete. Nekas, kas tiek darīts klēpjdatorā, nekompensē ugunsmūri, kas izmet UDP 500 pirms tas sasniedz partneri. Veiksmīgs pakalpojuma stāvoklis ir priekšnosacījums, nevis pierādījums tam, ka tunelis pacelsies.

Atspējot IKEEXT, lai atbrīvotu portus, ir attaisnojami tikai tad, ja pieņemat, ka Windows IPsec VPN pārstāj darboties. Tas atrisina portu konfliktu, noņemot funkciju, kurai ports bija vajadzīgs, un tas reti ir tas apmaiņa, ko lietotājs bija iecerējis. Pirms kaut ko mainīt, apstipriniet, ka pakalpojums pastāv, ir iestatīts uz Automatic un darbojas, ka nav instalēts otrs IPsec steks un ka iepriekš koplietotā atslēga vai sertifikātu ķēde atbilst vārtejai.

• IKEEXT pastāv, ir iestatīts uz Automatic un darbojas pirms klienta savienojuma.
• Nekas cits neaizņem UDP 500 vai 4500.
• No veca klienta nepaliek otrs IPsec steks.
• Atslēga vai sertifikātu ķēde atbilst vārtejas konfigurācijai.
• Neizdevušais posms tika pierakstīts pirms profila rediģēšanas.