L2TP/IPsec не успева кога услугата IKEEXT е оневозможена

Еден преносен сметач достигнува портал IKEv2, но не успева со портал L2TP/IPsec, и грешката доаѓа пред да се испрати било какво корисничко име. Профилот обично е првиот осомничен и обично погрешниот. Windows ја извршува размената на клучеви IPsec во услуга, и додека таа услуга е оневозможена, вградениот клиент нема стек со кој би можел да преговара. Проверете ја услугата пред да допрете и едно поле од профилот и потоа откријте што ја оневозможи.

Услугата зад дефектот

IKE and AuthIP IPsec Keying Modules, прикажана како IKEEXT во списокот услуги, ја извршува размената на клучеви и ги држи приклучниците UDP 500 и 4500 во Windows. Оневозможете ја и и L2TP/IPsec и IKEv2 го губат својот преговарач, додека PPTP и SSTP можат да продолжат да работат затоа што не зависат од неа. Оваа поделба објаснува зошто корисник може да пријави дека еден тип VPN работи, а друг е мртов на истиот сметач. Услугата е дел од оперативниот систем, па ниту една поставка на профилот не може да ја замени.

Ослободувањето на овие два порта е несаканиот ефект што создава лоши совети. Алатка или објава на форум забележува дека 500 и 4500 се зафатени, ја запира услугата за да ги ослободи и со тоа тивко го отстранува IPsec од домаќинот. Двата ефекта се едно дејство, па секој водич што препорачува чистење на портите опишува замена, а не поправка.

Вратете ја услугата без погодување

Поставете му на менаџерот на услуги две прашања: каков е типот на стартување и каква е тековната состојба. Првото кажува дали услугата ќе се врати по рестартирање; второто дали работи сега. Извршете ги двете прашања од покачена командна линија за да може истата обвивка потоа да ја смени поставката.

sc qc ikeext
sc query ikeext

Типот на стартување Disabled го објаснува целиот симптом, а решението е да го вратите на Automatic и да ја стартувате услугата. Во конзолата Услуги записот се појавува под неговото прикажано име IKE and AuthIP IPsec Keying Modules, па пребарувањето за IKEEXT во тој список не наоѓа ништо. Рестартирајте ако услугата е стартувана дури откако веќе се случила неуспешна врска, бидејќи стек иницијализиран во тој редослед може да откаже на начини што изгледаат неповрзани.

sc config ikeext start= auto
net start ikeext

Што повторно ја исклучува

Некои пакети VPN од трети страни доставуваат сопствена имплементација на IPsec и ја оневозможуваат IKEEXT за време на инсталацијата, по што клиентот на Windows престанува да работи. Отстранувањето на другиот производ обнови L2TP/IPsec на сметачи каде уредувањето на профилот не постигнуваше ништо, а истото го направи и преинсталацијата без конфликтната компонента. Услугата беше оневозможена при инсталацијата, а не префрлена од корисникот.

И групната политика може да го закачи типот на стартување; во тој случај локалната промена се враќа при следното освежување и администраторот што ја поседува политиката мора да ја смени. Запишете го типот на стартување пред рестартирање, по рестартирање и по ажурирањата на другиот производ, секој пат со датумот. Вредност што постојано се враќа на Disabled го открива својот сопственик по шемата, а не по погодување.

Најпрво прочитајте ја фазата, потоа дневникот

Кога услугата работи, фазата на дефектот одлучува каде да гледате понатаму. Застој за време на IKE обично значи дека UDP 500 или 4500 никогаш не стигнал до серверот, или дека серверот стои зад NAT без соодветната поставка за инкапсулација. Да стигнете до барањето за акредитиви и таму да не успеете е проблем со автентикација на PPP, а не со IPsec. Тунел што се крева и ништо не достигнува е дефект во рутирањето или во поделен тунел, и само првата од тие три живее во профилот на VPN.

Профилите со сертификат додаваат своја фаза. Клиентот мора да му верува на издавачот и сертификатот мора да го именува серверот што се проверува; кога некој од двата услова не успее, дијалогот сѐ уште пријавува грешка во почетното договарање, па дневникот на настани е местото каде што се појавува вистинската причина. Прочитајте го записот во дневникот пред да го уредите профилот, бидејќи дијалогот притиска неколку различни дефекти во една реченица. Истечен сертификат произведува ист дијалог како оневозможена услуга, и затоа записот во дневникот е важен.

Запишете ја фазата што не успева, текстот на грешката и временската ознака за секој обид. Тие три полиња го одделуваат проблемот со достапноста од проблемот со автентикација и од проблемот со рутирање, и ја прават следната промена одлука наместо погодување.

Што не може да докаже локалната поправка

Враќањето на услугата ја поправа половината од патот што се наоѓа на преносниот сметач. Работечката услуга докажува само локалната половина: далечниот крај сѐ уште мора да го прифати избраниот предлог, доставените акредитиви и изворната адреса од која пристигнува пакетот. Ништо направено на преносниот сметач не го компензира заштитниот ѕид што го отфрла UDP 500 пред да стигне до партнерот. Успешната состојба на услугата е предуслов, а не доказ дека тунелот ќе се крене.

Оневозможувањето на IKEEXT за да се ослободат портите е оправдано само ако прифатите дека IPsec VPN на Windows престануваат да работат. То решава конфликт на порти со отстранување на функцијата на која ѝ требаше портата, и тоа ретко е замената што корисникот ја имал на ум. Пред да смените нешто, потврдете дека услугата постои, поставена е на Automatic и работи, дека не е инсталиран втор стек IPsec и дека претходно споделениот клуч или синџирот сертификати одговара на порталот.

• IKEEXT постои, поставена е на Automatic и работи пред клиентот да се поврзе.
• Ништо друго не држи UDP 500 или 4500.
• Од стариот клиент не останува втор стек IPsec.
• Клучот или синџирот сертификати одговара на конфигурацијата на порталот.
• Фазата што не успеа беше запишана пред уредувањето на профилот.