L2TP/IPsec zawodzi, gdy usługa IKEEXT jest wyłączona

Jeden laptop dociera do bramy IKEv2, ale zawodzi wobec bramy L2TP/IPsec, a błąd pojawia się, zanim zostanie wysłana jakakolwiek nazwa użytkownika. Profil jest zwykle pierwszym podejrzanym i zwykle niewłaściwym. Windows wykonuje wymianę kluczy IPsec w usłudze, a dopóki ta usługa jest wyłączona, wbudowany klient nie ma stosu, z którym mógłby negocjować. Sprawdź usługę, zanim dotkniesz choćby jednego pola profilu, a następnie ustal, co ją wyłączyło.

Usługa stojąca za awarią

IKE and AuthIP IPsec Keying Modules, widoczna na liście usług jako IKEEXT, wykonuje wymianę kluczy i utrzymuje gniazda UDP 500 i 4500 w systemie Windows. Wyłącz ją, a zarówno L2TP/IPsec, jak i IKEv2 tracą swojego negocjatora, podczas gdy PPTP i SSTP mogą nadal działać, ponieważ od niej nie zależą. Ten podział wyjaśnia, dlaczego użytkownik może zgłosić, że jeden typ VPN działa, a inny jest martwy na tej samej maszynie. Usługa jest częścią systemu operacyjnego, więc żadne ustawienie profilu nie może jej zastąpić.

Zwolnienie tych dwóch portów to efekt uboczny, który rodzi złe porady. Narzędzie lub wpis na forum zauważa, że 500 i 4500 są zajęte, zatrzymuje usługę, aby je zwolnić, i tym samym po cichu usuwa IPsec z hosta. Oba efekty to jedna czynność, więc każdy przewodnik zalecający oczyszczenie portów opisuje wymianę, a nie naprawę.

Przywróć usługę bez zgadywania

Zadaj menedżerowi usług dwa pytania: jaki jest typ uruchomienia i jaki jest bieżący stan. Pierwsze mówi, czy usługa wróci po ponownym uruchomieniu; drugie, czy działa teraz. Uruchom oba zapytania z podniesionego wiersza poleceń, aby ta sama powłoka mogła później zmienić ustawienie.

sc qc ikeext
sc query ikeext

Typ uruchomienia Disabled wyjaśnia cały objaw, a rozwiązaniem jest przywrócenie go na Automatic i uruchomienie usługi. W konsoli Usługi wpis pojawia się pod nazwą wyświetlaną IKE and AuthIP IPsec Keying Modules, więc szukanie IKEEXT na tej liście nic nie znajdzie. Uruchom ponownie, jeśli usługa została uruchomiona dopiero po tym, jak nieudane połączenie już się odbyło, ponieważ stos zainicjowany w tej kolejności może zawodzić w sposób, który wydaje się niepowiązany.

sc config ikeext start= auto
net start ikeext

Co ją znowu wyłącza

Niektóre zestawy VPN firm trzecich dostarczają własną implementację IPsec i wyłączają IKEEXT podczas instalacji, po czym klient Windows przestaje działać. Usunięcie innego produktu przywróciło L2TP/IPsec na maszynach, na których edycja profilu nic nie dawała, podobnie jak ponowna instalacja bez kolidującego składnika. Usługa została wyłączona podczas instalacji, a nie przełączona przez użytkownika.

Zasady grupy również mogą przypiąć typ uruchomienia; w takim przypadku lokalna zmiana jest cofana przy następnym odświeżeniu, a administrator będący właścicielem zasady musi ją zmienić. Zapisz typ uruchomienia przed ponownym uruchomieniem, po ponownym uruchomieniu i po aktualizacjach innego produktu, za każdym razem z datą. Wartość, która stale wraca do Disabled, zdradza swojego właściciela wzorcem, a nie domysłami.

Najpierw przeczytaj etap, potem dziennik

Gdy usługa działa, etap awarii decyduje, gdzie szukać dalej. Zatrzymanie podczas IKE zwykle oznacza, że UDP 500 lub 4500 nigdy nie dotarło do serwera albo że serwer znajduje się za NAT bez odpowiedniego ustawienia enkapsulacji. Dotarcie do monitu o poświadczenia i niepowodzenie tam to problem uwierzytelniania PPP, a nie IPsec. Tunel, który się podnosi i do niczego nie dociera, to usterka routingu lub tunelu dzielonego, i tylko pierwsza z tych trzech znajduje się w profilu VPN.

Profile z certyfikatem dodają własny etap. Klient musi ufać urzędowi wydającemu, a certyfikat musi nazywać weryfikowany serwer; gdy którykolwiek warunek zawiedzie, okno dialogowe nadal zgłasza błąd wstępnych negocjacji, więc to dziennik zdarzeń jest miejscem, w którym pojawia się prawdziwa przyczyna. Przeczytaj wpis w dzienniku przed edycją profilu, ponieważ okno dialogowe sprowadza kilka różnych awarii do jednego zdania. Wygasły certyfikat daje to samo okno dialogowe co wyłączona usługa, i dlatego wpis w dzienniku ma znaczenie.

Zapisz nieudany etap, tekst błędu i znacznik czasu dla każdej próby. Te trzy pola oddzielają problem osiągalności od problemu uwierzytelniania i od problemu routingu, i czynią następną zmianę decyzją, a nie domysłem.

Czego nie może udowodnić lokalna naprawa

Przywrócenie usługi naprawia połowę drogi, która znajduje się na laptopie. Działająca usługa dowodzi tylko połowy lokalnej: drugi koniec nadal musi zaakceptować wybraną propozycję, dostarczone poświadczenia i adres źródłowy, z którego przychodzi pakiet. Nic, co zrobiono na laptopie, nie zrekompensuje zapory, która odrzuca UDP 500, zanim dotrze ono do peera. Pomyślny stan usługi jest warunkiem wstępnym, a nie dowodem, że tunel się podniesie.

Wyłączenie IKEEXT w celu zwolnienia portów jest do obrony tylko wtedy, gdy zaakceptujesz, że VPN-y IPsec systemu Windows przestaną działać. Rozwiązuje konflikt portów, usuwając funkcję, która potrzebowała portu, a to rzadko jest wymiana, którą użytkownik zamierzał. Przed zmianą czegokolwiek potwierdź, że usługa istnieje, jest ustawiona na Automatic i działa, że nie jest zainstalowany drugi stos IPsec i że klucz wstępny lub łańcuch certyfikatów pasuje do bramy.

• IKEEXT istnieje, jest ustawiony na Automatic i działa, zanim klient się połączy.
• Nic innego nie zajmuje UDP 500 ani 4500.
• Nie pozostaje drugi stos IPsec po starym kliencie.
• Klucz lub łańcuch certyfikatów pasuje do konfiguracji bramy.
• Nieudany etap został zapisany przed edycją profilu.