L2TP/IPsec ne uspe, ko je storitev IKEEXT onemogočena

En prenosnik doseže prehod IKEv2, a spodleti pri prehodu L2TP/IPsec, in napaka se pojavi, preden se pošlje kakršno koli uporabniško ime. Profil je običajno prvi osumljenec in običajno napačen. Windows izvaja izmenjavo ključev IPsec v storitvi, in dokler je ta storitev onemogočena, vgrajeni odjemalec nima sklada, s katerim bi se pogajal. Preverite storitev, preden se dotaknete enega samega polja profila, in nato ugotovite, kaj jo je onemogočilo.

Storitev za napako

IKE and AuthIP IPsec Keying Modules, prikazana kot IKEEXT na seznamu storitev, izvaja izmenjavo ključev in v sistemu Windows drži vtičnice UDP 500 in 4500. Onemogočite jo in tako L2TP/IPsec kot IKEv2 izgubita svojega pogajalca, medtem ko lahko PPTP in SSTP še naprej delujeta, ker nista odvisna od nje. Ta delitev pojasnjuje, zakaj lahko uporabnik poroča, da ena vrsta VPN deluje, druga pa je na istem računalniku mrtva. Storitev je del operacijskega sistema, zato je nobena nastavitev profila ne more nadomestiti.

Sprostitev teh dveh vrat je stranski učinek, ki ustvarja slabe nasvete. Orodje ali objava na forumu opazi, da sta 500 in 4500 zasedena, ustavi storitev, da ju sprosti, in tako tiho odstrani IPsec z gostitelja. Učinka sta eno dejanje, zato vsak vodnik, ki priporoča čiščenje vrat, opisuje menjavo in ne popravila.

Vrnite storitev brez ugibanja

Upravitelju storitev postavite dve vprašanji: kakšen je način zagona in kakšno je trenutno stanje. Prvo pove, ali se bo storitev po ponovnem zagonu vrnila; drugo, ali zdaj deluje. Obe poizvedbi zaženite iz povišanega ukaznega poziva, da lahko ista lupina pozneje spremeni nastavitev.

sc qc ikeext
sc query ikeext

Način zagona Disabled pojasni celotno simptomatiko, rešitev pa je, da ga vrnete na Automatic in storitev zaženete. V konzoli Storitve se vnos prikaže pod prikazanim imenom IKE and AuthIP IPsec Keying Modules, zato iskanje IKEEXT na tem seznamu ne najde ničesar. Znova zaženite, če je bila storitev zagnana šele potem, ko je neuspešna povezava že potekla, ker lahko sklad, inicializiran v tem vrstnem redu, spodleti na načine, ki se zdijo nepovezani.

sc config ikeext start= auto
net start ikeext

Kaj jo znova izklopi

Nekateri paketi VPN tretjih oseb prinašajo lastno izvedbo IPsec in med namestitvijo onemogočijo IKEEXT, nato pa odjemalec Windows preneha delovati. Odstranitev drugega izdelka je obnovila L2TP/IPsec na računalnikih, kjer urejanje profila ni doseglo ničesar, in enako je storila ponovna namestitev brez nasprotujoče komponente. Storitev je bila onemogočena ob namestitvi, ne pa preklopljena s strani uporabnika.

Tudi skupinska politika lahko pripne način zagona; v tem primeru se lokalna sprememba ob naslednjem osvežitvi razveljavi in skrbnik, ki je lastnik politike, jo mora spremeniti. Zapišite način zagona pred ponovnim zagonom, po njem in po posodobitvah drugega izdelka, vsakič z datumom. Vrednost, ki se nenehno vrača na Disabled, razkrije svojega lastnika po vzorcu, ne po ugibanju.

Najprej preberite fazo, nato dnevnik

Ko storitev deluje, faza napake odloči, kam pogledati naprej. Zastoj med IKE običajno pomeni, da UDP 500 ali 4500 nikoli ni dosegel strežnika, ali da je strežnik za NAT brez ustrezne nastavitve enkapsulacije. Doseči poziv za poverilnice in tam spodleteti je težava preverjanja pristnosti PPP, ne IPsec. Predor, ki se dvigne in ne doseže ničesar, je napaka usmerjanja ali razdeljenega predora, in samo prva od teh treh živi v profilu VPN.

Profili s potrdilom dodajo svojo fazo. Odjemalec mora zaupati izdajatelju in potrdilo mora navesti strežnik, ki se preverja; ko kateri od obeh pogojev spodleti, pogovorno okno še vedno poroča o napaki začetnega pogajanja, zato je dnevnik dogodkov kraj, kjer se pojavi pravi razlog. Preberite vnos v dnevniku, preden uredite profil, ker pogovorno okno stisne več različnih napak v en stavek. Poteklo potrdilo ustvari isto pogovorno okno kot onemogočena storitev, zato je vnos v dnevniku pomemben.

Zapišite fazo, ki spodleti, besedilo napake in časovni žig za vsak poskus. Ta tri polja ločijo težavo dosegljivosti od težave preverjanja pristnosti in od težave usmerjanja ter naredijo naslednjo spremembo odločitev namesto ugibanja.

Česa lokalno popravilo ne more dokazati

Obnovitev storitve popravi polovico poti, ki je na prenosniku. Delujoča storitev dokazuje le lokalno polovico: oddaljeni konec mora še vedno sprejeti izbrani predlog, posredovane poverilnice in izvorni naslov, s katerega prihaja paket. Nič, kar se naredi na prenosniku, ne nadomesti požarnega zidu, ki zavrže UDP 500, preden doseže partnerja. Uspešno stanje storitve je predpogoj, ne dokaz, da se bo predor dvignil.

Onemogočiti IKEEXT za sprostitev vrat je zagovarjano le, če sprejmete, da Windowsove VPN IPsec prenehajo delovati. Reši konflikt vrat z odstranitvijo funkcije, ki je vrata potrebovala, in to je redko menjava, ki jo je uporabnik nameraval. Preden karkoli spremenite, potrdite, da storitev obstaja, je nastavljena na Automatic in deluje, da ni nameščen drugi sklad IPsec in da se vnaprej deljeni ključ ali veriga potrdil ujema s prehodom.

• IKEEXT obstaja, je nastavljen na Automatic in deluje, preden se odjemalec poveže.
• Nič drugega ne zaseda UDP 500 ali 4500.
• Od starega odjemalca ne ostane drugi sklad IPsec.
• Ključ ali veriga potrdil se ujema s konfiguracijo prehoda.
• Faza, ki je spodletela, je bila zabeležena pred urejanjem profila.