L2TP/IPsec ne uspijeva kad je usluga IKEEXT onemogućena

Jedno prijenosno računalo doseže pristupnik IKEv2, ali ne uspijeva s pristupnikom L2TP/IPsec, i pogreška dolazi prije nego se pošalje bilo koje korisničko ime. Profil je obično prvi osumnjičeni i obično pogrešan. Windows izvodi razmjenu ključeva IPsec u usluzi, a dok je ta usluga onemogućena, ugrađeni klijent nema stog s kojim bi mogao pregovarati. Provjerite uslugu prije nego dodirnete ijedno polje profila i zatim otkrijte što ju je onemogućilo.

Usluga iza kvara

IKE and AuthIP IPsec Keying Modules, prikazana kao IKEEXT na popisu usluga, izvodi razmjenu ključeva i drži utičnice UDP 500 i 4500 u sustavu Windows. Onemogućite ju i i L2TP/IPsec i IKEv2 izgubit će svog pregovarača, dok PPTP i SSTP mogu nastaviti raditi jer ne ovise o njoj. Ta podjela objašnjava zašto korisnik može prijaviti da jedna vrsta VPN-a radi, a druga je mrtva na istom računalu. Usluga je dio operacijskog sustava, pa je nijedna postavka profila ne može zamijeniti.

Oslobađanje tih dvaju portova nuspojava je koja stvara loše savjete. Alat ili objava na forumu primijeti da su 500 i 4500 zauzeti, zaustavi uslugu da ih oslobodi i time tiho ukloni IPsec s računala. Dva su učinka jedna radnja, pa svaki vodič koji preporučuje čišćenje portova opisuje zamjenu, a ne popravak.

Vratite uslugu bez nagađanja

Upravitelju usluga postavite dva pitanja: kakav je način pokretanja i kakvo je trenutačno stanje. Prvo govori hoće li se usluga vratiti nakon ponovnog pokretanja; drugo radi li sada. Pokrenite oba upita iz povišenog naredbenog retka kako bi ista ljuska poslije mogla promijeniti postavku.

sc qc ikeext
sc query ikeext

Način pokretanja Disabled objašnjava cijeli simptom, a rješenje je vratiti ga na Automatic i pokrenuti uslugu. U konzoli Services unos se pojavljuje pod svojim prikazanim imenom IKE and AuthIP IPsec Keying Modules, pa pretraživanje IKEEXT na tom popisu ne nalazi ništa. Ponovno pokrenite ako je usluga pokrenuta tek nakon što je neuspjela veza već protekla, jer stog inicijaliziran tim redoslijedom može zakazati na načine koji izgledaju nepovezano.

sc config ikeext start= auto
net start ikeext

Što ju opet isključuje

Neki paketi VPN-a trećih strana isporučuju vlastitu implementaciju IPsec-a i tijekom instalacije onemoguće IKEEXT, nakon čega Windows klijent prestaje raditi. Uklanjanje drugog proizvoda obnovilo je L2TP/IPsec na računalima na kojima uređivanje profila nije postiglo ništa, kao i ponovna instalacija bez sukobljene komponente. Usluga je onemogućena tijekom instalacije, a ne prebacivanjem od strane korisnika.

I grupna pravila mogu prikvačiti način pokretanja; u tom se slučaju lokalna promjena poništava pri sljedećem osvježavanju i administrator koji posjeduje pravilo mora ju promijeniti. Zabilježite način pokretanja prije ponovnog pokretanja, nakon njega i nakon ažuriranja drugog proizvoda, svaki put s datumom. Vrijednost koja se stalno vraća na Disabled odaje svog vlasnika uzorkom, a ne nagađanjem.

Najprije pročitajte fazu, zatim zapisnik

Kad usluga radi, faza kvara odlučuje kamo dalje gledati. Zastoj tijekom IKE-a obično znači da UDP 500 ili 4500 nikada nije stigao do poslužitelja ili da poslužitelj stoji iza NAT-a bez odgovarajuće postavke enkapsulacije. Doći do upita za vjerodajnice i tamo zakazati problem je provjere autentičnosti PPP-a, a ne IPsec-a. Tunel koji se podigne i ništa ne dosegne kvar je usmjeravanja ili podijeljenog tunela, i samo prva od tih triju stanuje u profilu VPN-a.

Profili s potvrdom dodaju vlastitu fazu. Klijent mora vjerovati izdavatelju, a potvrda mora imenovati poslužitelj koji se provjerava; kad zakaže bilo koji od dvaju uvjeta, dijaloški okvir i dalje prijavljuje pogrešku početnog pregovaranja, pa je dnevnik događaja mjesto gdje se pojavljuje pravi razlog. Pročitajte zapis u dnevniku prije uređivanja profila jer dijaloški okvir sažima nekoliko različitih kvarova u jednu rečenicu. Istekla potvrda proizvodi isti dijaloški okvir kao onemogućena usluga, i zato je zapis u dnevniku važan.

Zabilježite fazu koja zakaže, tekst pogreške i vremensku oznaku za svaki pokušaj. Ta tri polja odvajaju problem dosegljivosti od problema provjere autentičnosti i od problema usmjeravanja te sljedeću promjenu čine odlukom umjesto nagađanjem.

Što lokalni popravak ne može dokazati

Vraćanje usluge popravlja polovicu puta koja se nalazi na prijenosnom računalu. Usluga koja radi dokazuje samo lokalnu polovicu: udaljeni kraj mora još prihvatiti odabrani prijedlog, dostavljene vjerodajnice i izvornu adresu s koje paket dolazi. Ništa što se učini na prijenosnom računalu ne nadoknađuje vatrozid koji odbacuje UDP 500 prije nego stigne do partnera. Uspješno stanje usluge preduvjet je, a ne dokaz da će se tunel podignuti.

Onemogućiti IKEEXT radi oslobađanja portova opravdano je samo ako prihvatite da Windowsovi IPsec VPN-ovi prestaju raditi. Rješava sukob portova uklanjanjem značajke kojoj je port trebao, a to je rijetko zamjena koju je korisnik namjeravao. Prije nego što bilo što promijenite, potvrdite da usluga postoji, da je postavljena na Automatic i da radi, da nije instaliran drugi IPsec stog i da se prethodno dijeljeni ključ ili lanac potvrda podudara s pristupnikom.

• IKEEXT postoji, postavljen je na Automatic i radi prije nego se klijent poveže.
• Ništa drugo ne drži UDP 500 ni 4500.
• Od starog klijenta ne ostaje drugi IPsec stog.
• Ključ ili lanac potvrda podudara se s konfiguracijom pristupnika.
• Faza koja je zakazala zabilježena je prije uređivanja profila.