L2TP/IPsec gagal apabila perkhidmatan IKEEXT dilumpuhkan

Satu komputer riba sampai ke get laluan IKEv2 tetapi gagal terhadap get laluan L2TP/IPsec, dan ralat muncul sebelum sebarang nama pengguna dihantar. Profil biasanya menjadi suspek pertama dan biasanya yang salah. Windows menjalankan pertukaran kunci IPsec dalam perkhidmatan, dan selagi perkhidmatan itu dilumpuhkan, klien terbina dalam tiada tindanan untuk berunding. Semak perkhidmatan itu sebelum menyentuh satu medan profil pun, kemudian cari apa yang melumpuhkannya.

Perkhidmatan di sebalik kegagalan

IKE and AuthIP IPsec Keying Modules, yang dipaparkan sebagai IKEEXT dalam senarai perkhidmatan, menjalankan pertukaran kunci dan memegang soket UDP 500 dan 4500 pada Windows. Lumpuhkannya dan kedua-dua L2TP/IPsec serta IKEv2 kehilangan perunding mereka, manakala PPTP dan SSTP boleh terus berfungsi kerana tidak bergantung padanya. Perpecahan itulah sebabnya pengguna boleh melaporkan satu jenis VPN berfungsi dan satu lagi mati pada mesin yang sama. Perkhidmatan ini sebahagian daripada sistem pengendalian, jadi tiada tetapan profil boleh menggantikannya.

Membebaskan dua port itu ialah kesan sampingan yang menghasilkan nasihat buruk. Sesuatu alat atau kiriman forum perasan bahawa 500 dan 4500 sedang digunakan, menghentikan perkhidmatan untuk membebaskannya, dan dengan itu membuang IPsec daripada hos secara senyap. Kedua-dua kesan ialah satu tindakan, jadi mana-mana panduan yang mengesyorkan membersihkan port menggambarkan pertukaran, bukan pembaikan.

Kembalikan perkhidmatan tanpa meneka

Tanya pengurus perkhidmatan dua soalan: apakah jenis permulaan, dan apakah keadaan semasa. Yang pertama memberitahu sama ada perkhidmatan akan kembali selepas dimulakan semula; yang kedua sama ada ia sedang berjalan sekarang. Jalankan kedua-dua pertanyaan daripada gesaan arahan yang dinaikkan supaya cangkerang yang sama boleh menukar tetapan selepas itu.

sc qc ikeext
sc query ikeext

Jenis permulaan Disabled menerangkan seluruh gejala, dan penyelesaiannya ialah menetapkannya semula kepada Automatic dan memulakan perkhidmatan. Dalam konsol Services, entri muncul di bawah nama paparannya, IKE and AuthIP IPsec Keying Modules, jadi carian IKEEXT dalam senarai itu tidak menemui apa-apa. Mulakan semula jika perkhidmatan baru dimulakan selepas sambungan yang gagal sudah berjalan, kerana tindanan yang dimulakan dalam susunan itu boleh gagal dengan cara yang kelihatan tidak berkaitan.

sc config ikeext start= auto
net start ikeext

Apa yang mematikannya semula

Sesetengah suite VPN pihak ketiga membawa pelaksanaan IPsec sendiri dan melumpuhkan IKEEXT semasa pemasangan, selepas itu klien Windows berhenti berfungsi. Pembuangan produk lain telah memulihkan L2TP/IPsec pada mesin yang suntingan profilnya tidak mencapai apa-apa, dan begitu juga pemasangan semulanya tanpa komponen yang bercanggah. Perkhidmatan itu dilumpuhkan semasa pemasangan, bukan ditukar oleh pengguna.

Dasar kumpulan juga boleh memaku jenis permulaan; dalam kes itu perubahan setempat dikembalikan pada penyegaran seterusnya dan pentadbir yang memiliki dasar itu perlu menukarnya. Catat jenis permulaan sebelum dimulakan semula, selepasnya dan selepas produk lain dikemas kini, setiap kali dengan tarikh. Nilai yang terus kembali kepada Disabled mendedahkan pemiliknya melalui corak, bukan melalui tekaan.

Baca peringkat dahulu, kemudian log

Apabila perkhidmatan berjalan, peringkat kegagalan menentukan ke mana perlu dilihat seterusnya. Terhenti semasa IKE biasanya bermaksud UDP 500 atau 4500 tidak pernah sampai ke pelayan, atau pelayan berada di belakang NAT tanpa tetapan pengekapsulan yang sepadan. Sampai ke gesaan kelayakan dan gagal di situ ialah masalah pengesahan PPP, bukan IPsec. Terowong yang naik tetapi tidak sampai ke mana-mana ialah kerosakan penghalaan atau terowong berpecah, dan hanya yang pertama daripada ketiga-tiganya berada dalam profil VPN.

Profil dengan sijil menambah peringkatnya sendiri. Klien mesti mempercayai pihak berkuasa pengeluar dan sijil mesti menamakan pelayan yang disahkan; apabila mana-mana daripada dua syarat itu gagal, dialog masih melaporkan ralat rundingan awal, jadi log peristiwa ialah tempat sebab sebenar muncul. Baca entri log sebelum mengedit profil, kerana dialog memampatkan beberapa kegagalan berbeza menjadi satu ayat. Sijil yang tamat tempoh menghasilkan dialog yang sama seperti perkhidmatan yang dilumpuhkan, dan itulah sebabnya entri log penting.

Catat peringkat yang gagal, teks ralat dan cap masa bagi setiap percubaan. Ketiga-tiga medan itu memisahkan masalah kebolehcapaian daripada masalah pengesahan dan daripada masalah penghalaan, dan menjadikan perubahan seterusnya keputusan bukan tekaan.

Apa yang pembaikan setempat tidak dapat buktikan

Memulihkan perkhidmatan hanya membaiki separuh laluan yang ada pada komputer riba. Perkhidmatan yang berfungsi hanya membuktikan separuh setempat: hujung jauh masih perlu menerima cadangan yang dipilih, kelayakan yang dibekalkan dan alamat sumber tempat paket datang. Tiada apa yang dilakukan pada komputer riba boleh mengimbangi tembok api yang membuang UDP 500 sebelum ia sampai ke rakan. Keadaan perkhidmatan yang berjaya ialah prasyarat, bukan bukti terowong akan naik.

Melumpuhkan IKEEXT untuk membebaskan port hanya boleh dipertahankan jika anda menerima bahawa VPN IPsec Windows berhenti berfungsi. Ia menyelesaikan konflik port dengan membuang ciri yang memerlukan port itu, dan itu jarang merupakan pertukaran yang dimaksudkan pengguna. Sebelum menukar apa-apa, sahkan perkhidmatan wujud, ditetapkan kepada Automatic dan berjalan, tiada tindanan IPsec kedua dipasang, dan kunci yang dikongsi awal atau rantaian sijil sepadan dengan get laluan.

• IKEEXT wujud, ditetapkan kepada Automatic dan berjalan sebelum klien bersambung.
• Tiada apa-apa lain memegang UDP 500 atau 4500.
• Tiada tindanan IPsec kedua tinggal daripada klien lama.
• Kunci atau rantaian sijil sepadan dengan konfigurasi get laluan.
• Peringkat yang gagal telah dicatat sebelum profil diedit.