L2TP/IPsec dështon kur shërbimi IKEEXT është i çaktivizuar

Një laptop arrin një portal IKEv2 por dështon kundrejt një L2TP/IPsec, dhe gabimi shfaqet përpara se të dërgohet ndonjë emër përdoruesi. Profili zakonisht është i dyshuari i parë dhe zakonisht i gabuar. Windows e ekzekuton shkëmbimin e çelësave IPsec në një shërbim, dhe ndërsa ai shërbim është i çaktivizuar, klienti i integruar nuk ka asnjë stivë me të cilën të negociojë. Kontrolloni shërbimin përpara se të prekni edhe një fushë të profilit, dhe më pas zbuloni çfarë e çaktivizoi.

Shërbimi pas dështimit

IKE and AuthIP IPsec Keying Modules, i shfaqur si IKEEXT në listën e shërbimeve, kryen shkëmbimin e çelësave dhe mban lidhjet UDP 500 dhe 4500 në Windows. Çaktivizojeni dhe si L2TP/IPsec ashtu edhe IKEv2 humbin negociatorin e tyre, ndërsa PPTP dhe SSTP mund të vazhdojnë të punojnë sepse nuk varen prej tij. Kjo ndarje shpjegon pse një përdorues mund të raportojë se një lloj VPN funksionon dhe një tjetër është i vdekur në të njëjtën makinë. Shërbimi është pjesë e sistemit operativ, kështu që asnjë cilësim i profilit nuk mund ta zëvendësojë atë.

Lirimi i këtyre dy portave është efekti anësor që prodhon këshilla të këqija. Një mjet ose një postim forumi vëren se 500 dhe 4500 janë të zëna, ndalon shërbimin për t'i liruar dhe kështu heq në heshtje IPsec nga hosti. Të dy efektet janë një veprim i vetëm, kështu që çdo udhëzues që rekomandon pastrimin e portave përshkruan një shkëmbim dhe jo një riparim.

Kthejeni shërbimin pa hamendësuar

Bëjini menaxherit të shërbimeve dy pyetje: cili është lloji i nisjes dhe cili është gjendja aktuale. E para ju tregon nëse shërbimi do të kthehet pas një rinisjeje; e dyta nëse po ekzekutohet tani. Ekzekutoni të dyja pyetjet nga një prompt i ngritur, që i njëjti shell të mund ta ndryshojë cilësimin më pas.

sc qc ikeext
sc query ikeext

Një lloj nisjeje Disabled shpjegon të gjithë simptomën, dhe zgjidhja është ta ktheni në Automatic dhe ta nisni. Në konsolën Services zëri shfaqet nën emrin e tij të shfaqjes, IKE and AuthIP IPsec Keying Modules, kështu që kërkimi për IKEEXT në atë listë nuk gjen asgjë. Rinisni nëse shërbimi u nis vetëm pasi një lidhje e dështuar kishte ekzekutuar tashmë, sepse një stivë e inicializuar në atë rend mund të dështojë në mënyra që duken të palidhura.

sc config ikeext start= auto
net start ikeext

Çfarë e çaktivizon përsëri

Disa suite VPN të palëve të treta sjellin implementimin e tyre të IPsec dhe çaktivizojnë IKEEXT gjatë instalimit, pas së cilës klienti i Windows ndalon së punuari. Heqja e produktit tjetër ka rikthyer L2TP/IPsec në makina ku ndryshimet e profilit nuk arrinin asgjë, dhe po ashtu e ka bërë riinstalimi pa komponentin konfliktual. Shërbimi u çaktivizua në kohën e instalimit, nuk u ndryshua nga përdoruesi.

Edhe politika e grupit mund ta fiksojë llojin e nisjes; në atë rast një ndryshim lokal kthehet mbrapsht në rifreskimin tjetër dhe administratori që zotëron politikën duhet ta ndryshojë atë. Shënoni llojin e nisjes përpara një rinisjeje, pas një rinisjeje dhe pas përditësimeve të produktit tjetër, me datën çdo herë. Një vlerë që kthehet vazhdimisht në Disabled e tradhton pronarin e saj nga modeli, jo nga hamendja.

Lexoni fazën, pastaj regjistrin

Me shërbimin në punë, faza e dështimit vendos ku të shikoni më pas. Një ngecje gjatë IKE zakonisht do të thotë që UDP 500 ose 4500 nuk arriti kurrë te serveri, ose që serveri qëndron pas NAT pa cilësimin përkatës të inkapsulimit. Arritja e kërkesës për kredenciale dhe dështimi atje është problem vërtetimi PPP, jo IPsec. Një tunel që ngrihet dhe nuk arrin asgjë është defekt rrugëtimi ose tuneli të ndarë, dhe vetëm i pari nga ata tre ndodhet në profilin VPN.

Profilet me certifikatë shtojnë një fazë të tyre. Klienti duhet të besojë autoritetin lëshues dhe certifikata duhet të emërojë serverin që vërtetohet; kur dështon njëra nga të dyja kushtet, dialogu raporton ende një gabim negocimi fillestar, prandaj regjistri i ngjarjeve është vendi ku shfaqet arsyeja e vërtetë. Lexoni zërin e regjistrit përpara se të redaktoni profilin, sepse dialogu i ngjesh disa dështime të ndryshme në një fjali të vetme. Një certifikatë e skaduar prodhon të njëjtin dialog si një shërbim i çaktivizuar, dhe prandaj zëri i regjistrit ka rëndësi.

Shënoni fazën që dështon, tekstin e gabimit dhe vulën kohore për çdo përpjekje. Këto tre fusha ndajnë një problem arritshmërie nga një problem vërtetimi dhe nga një problem rrugëtimi, dhe e bëjnë ndryshimin tjetër vendim në vend të hamendjes.

Çfarë nuk mund të provojë një riparim lokal

Rikthimi i shërbimit rregullon gjysmën e rrugës që ndodhet në laptop. Një shërbim që punon provon vetëm gjysmën lokale: skaji i largët duhet të pranojë ende propozimin e zgjedhur, kredencialet e dhëna dhe adresën burimore nga e cila vjen paketa. Asgjë që bëhet në laptop nuk e kompenson një firewall që hedh UDP 500 përpara se të arrijë te partneri. Një gjendje e suksesshme e shërbimit është parakusht, jo provë se tuneli do të ngrihet.

Çaktivizimi i IKEEXT për të liruar portat është i mbrojtshëm vetëm nëse pranoni që VPN-t IPsec të Windows ndalojnë së punuari. Zgjidh një konflikt portash duke hequr veçorinë që kërkonte portën, gjë që rrallë është shkëmbimi që synonte përdoruesi. Përpara se të ndryshoni ndonjë gjë, konfirmoni që shërbimi ekziston, është vendosur në Automatic dhe po ekzekutohet, që nuk është instaluar një stivë e dytë IPsec dhe që çelësi i para-ndarë ose zinxhiri i certifikatave përputhet me portalin.

• IKEEXT ekziston, është vendosur në Automatic dhe po ekzekutohet përpara se klienti të lidhet.
• Asgjë tjetër nuk mban UDP 500 ose 4500.
• Nuk mbetet një stivë e dytë IPsec nga një klient i vjetër.
• Çelësi ose zinxhiri i certifikatave përputhet me konfigurimin e portalit.
• Faza që dështoi u shënua përpara se profili të redaktohej.