L2TP/IPsec zlyháva, keď je služba IKEEXT zakázaná

Žiadny IKEEXT, žiadny IPsec: L2TP a IKEv2 zlyhávajú, zatiaľ čo iné typy sa stále pripájajú. Skontrolujte službu a potom zistite, čo ju zakázalo, skôr než začnete upravovať profil.

Jeden notebook sa dostane k bráne IKEv2, ale zlyhá pri bráne L2TP/IPsec, a chyba príde skôr, než sa odošle akékoľvek používateľské meno. Profil býva prvý podozrivý a býva nesprávny. Windows vykonáva výmenu kľúčov IPsec v službe, a kým je táto služba zakázaná, vstavaný klient nemá zásobník, s ktorým by mohol vyjednávať. Skontrolujte službu, skôr než sa dotknete jediného poľa profilu, a potom zistite, čo ju zakázalo.

Služba, ktorá stojí za zlyhaním

IKE and AuthIP IPsec Keying Modules, zobrazená v zozname služieb ako IKEEXT, vykonáva výmenu kľúčov a drží v systéme Windows sockety UDP 500 a 4500. Zakážte ju a L2TP/IPsec aj IKEv2 stratia svojho vyjednávača, zatiaľ čo PPTP a SSTP môžu ďalej fungovať, pretože od nej nezávisia. Toto rozdelenie vysvetľuje, prečo používateľ môže hlásiť, že jeden typ VPN funguje a iný je na tom istom počítači mŕtvy. Služba je súčasťou operačného systému, takže ju žiadne nastavenie profilu nemôže nahradiť.

Uvoľnenie týchto dvoch portov je vedľajší účinok, ktorý rodí zlé rady. Nástroj alebo príspevok na fóre si všimne, že 500 a 4500 sú obsadené, zastaví službu, aby ich uvoľnil, a tým potichu odstráni IPsec z hostiteľa. Oba účinky sú jeden úkon, takže každý návod, ktorý odporúča porty vyčistiť, opisuje výmenu, nie opravu.

Vráťte službu späť bez hádania

Položte správcovi služieb dve otázky: aký je typ spustenia a aký je aktuálny stav. Prvá hovorí, či sa služba po reštarte vráti; druhá, či beží teraz. Spustite oba dopyty z zvýšeného príkazového riadka, aby ten istý shell mohol potom nastavenie zmeniť.

sc qc ikeext
sc query ikeext

Typ spustenia Disabled vysvetľuje celý príznak a riešením je vrátiť ho na Automatic a službu spustiť. V konzole Služby sa položka zobrazuje pod zobrazovaným názvom IKE and AuthIP IPsec Keying Modules, takže hľadanie IKEEXT v tomto zozname nič nenájde. Reštartujte, ak bola služba spustená až potom, čo už prebehlo neúspešné pripojenie, pretože zásobník inicializovaný v tomto poradí môže zlyhať spôsobmi, ktoré vyzerajú nesúvisiace.

sc config ikeext start= auto
net start ikeext

Čo ju znova vypne

Niektoré sady VPN tretích strán dodávajú vlastnú implementáciu IPsec a počas inštalácie zakážu IKEEXT, načo klient Windows prestane fungovať. Odobranie druhého produktu obnovilo L2TP/IPsec na počítačoch, kde úpravy profilu nič nepriniesli, a to isté urobila jeho preinštalácia bez konfliktnej komponenty. Služba bola zakázaná pri inštalácii, nie prepnutá používateľom.

Typ spustenia môže pripnúť aj skupinová politika; v takom prípade sa miestna zmena pri ďalšom obnovení vráti a správca, ktorý politiku vlastní, ju musí zmeniť. Zapíšte typ spustenia pred reštartom, po reštarte a po aktualizáciách druhého produktu, zakaždým s dátumom. Hodnota, ktorá sa neustále vracia na Disabled, prezrádza svojho vlastníka vzorom, nie hádaním.

Najprv si prečítajte fázu, potom protokol

Keď služba beží, fáza zlyhania rozhoduje, kam sa pozrieť ďalej. Zaseknutie počas IKE zvyčajne znamená, že UDP 500 alebo 4500 nikdy nedorazilo na server, alebo že server je za NAT bez zodpovedajúceho nastavenia zapuzdrenia. Dosiahnuť výzvu na prihlásenie a tam zlyhať je problém autentifikácie PPP, nie IPsec. Tunel, ktorý sa zdvihne a k ničomu sa nedostane, je závada smerovania alebo rozdeleného tunela, a iba prvá z tých troch sídli v profile VPN.

Profily s certifikátom pridávajú vlastnú fázu. Klient musí dôverovať vydavateľskej autorite a certifikát musí pomenovať overovaný server; keď zlyhá ktorákoľvek z oboch podmienok, dialóg stále hlási chybu počiatočného vyjednávania, takže protokol udalostí je miesto, kde sa objaví skutočný dôvod. Prečítajte si záznam v protokole, skôr než upravíte profil, pretože dialóg stláča niekoľko rôznych zlyhaní do jednej vety. Expirovaný certifikát vytvára rovnaký dialóg ako zakázaná služba, a preto na zázname v protokole záleží.

Zapíšte zlyhávajúcu fázu, text chyby a časovú pečiatku pre každý pokus. Tieto tri polia oddeľujú problém dosiahnuteľnosti od problému autentifikácie a od problému smerovania a robia z ďalšej zmeny rozhodnutie namiesto hádania.

Čo miestna oprava nemôže preukázať

Obnovenie služby opraví polovicu cesty, ktorá je na notebooku. Fungujúca služba preukazuje len miestnu polovicu: vzdialený koniec musí stále prijať zvolený návrh, dodané prihlasovacie údaje a zdrojovú adresu, z ktorej paket prichádza. Nič, čo sa urobí na notebooku, nevykompenzuje firewall, ktorý zahodí UDP 500, kým dorazí k partnerovi. Úspešný stav služby je predpoklad, nie dôkaz, že tunel vstane.

Vypnúť IKEEXT kvôli uvoľneniu portov možno obhájiť len vtedy, ak prijmete, že windowsové VPN s IPsec prestanú fungovať. Rieši konflikt portov odstránením funkcie, ktorá port potrebovala, a to je zriedka výmena, ktorú používateľ zamýšľal. Skôr než čokoľvek zmeníte, potvrďte, že služba existuje, je nastavená na Automatic a beží, že nie je nainštalovaný druhý zásobník IPsec a že predzdieľaný kľúč alebo reťaz certifikátov zodpovedá bráne.

  • IKEEXT existuje, je nastavený na Automatic a beží, kým sa klient pripojí.
  • Nič iné nedrží UDP 500 ani 4500.
  • Po starom klientovi nezostáva druhý zásobník IPsec.
  • Kľúč alebo reťaz certifikátov zodpovedá konfigurácii brány.
  • Zlyhávajúca fáza bola zaznamenaná pred úpravou profilu.

Súvisiace články