L2TP/IPsec не успева када је услуга IKEEXT онемогућена

Један преносни рачунар достиже приступну тачку IKEv2, али не успева са приступном тачком L2TP/IPsec, и грешка долази пре него што се пошаље било које корисничко име. Профил је обично први осумњичени и обично погрешан. Windows изводи размену кључева IPsec у услузи, а док је та услуга онемогућена, уграђени клијент нема стек са којим би могао да преговара. Проверите услугу пре него што додирнете иједно поље профила и затим откријте шта ју је онемогућило.

Услуга иза квара

IKE and AuthIP IPsec Keying Modules, приказана као IKEEXT на списку услуга, изводи размену кључева и држи утичнице UDP 500 и 4500 у систему Windows. Онемогућите је и и L2TP/IPsec и IKEv2 губе свог преговарача, док PPTP и SSTP могу наставити да раде јер не зависе од ње. Та подела објашњава зашто корисник може да пријави да једна врста VPN-а ради, а друга је мртва на истом рачунару. Услуга је део оперативног система, па је ниједна поставка профила не може заменити.

Ослобађање та два порта је нуспојава која ствара лоше савете. Алат или објава на форуму примети да су 500 и 4500 заузети, заустави услугу да их ослободи и тиме тихо уклони IPsec са рачунара. Два ефекта су једна радња, па сваки водич који препоручује чишћење портова описује замену, а не поправку.

Вратите услугу без нагађања

Поставите управнику услуга два питања: какав је начин покретања и какво је тренутно стање. Прво говори да ли ће се услуга вратити након поновног покретања; друго ради ли сада. Покрените оба упита из подигнутог командног реда како би иста љуска после могла да промени поставку.

sc qc ikeext
sc query ikeext

Начин покретања Disabled објашњава цео симптом, а решење је вратити га на Automatic и покренути услугу. У конзоли Services унос се појављује под својим приказаним именом IKE and AuthIP IPsec Keying Modules, па претрага за IKEEXT на том списку не налази ништа. Поново покрените ако је услуга покренута тек након што је неуспела веза већ протекла, јер стек иницијализован тим редоследом може да закаже на начине који изгледају неповезано.

sc config ikeext start= auto
net start ikeext

Шта је поново искључује

Неки пакети VPN-а трећих страна испоручују сопствену имплементацију IPsec-а и током инсталације онемогуће IKEEXT, након чега Windows клијент престаје да ради. Уклањање другог производа обновило је L2TP/IPsec на рачунарима на којима уређивање профила није постигло ништа, као и поновна инсталација без сукобљене компоненте. Услуга је онемогућена током инсталације, а не пребацивањем од стране корисника.

И групна правила могу да прикаче начин покретања; у том случају локална промена се поништава при следећем освежавању и администратор који поседује правило мора да је промени. Забележите начин покретања пре поновног покретања, након њега и након ажурирања другог производа, сваки пут са датумом. Вредност која се стално враћа на Disabled одаје свог власника узорком, а не нагађањем.

Најпре прочитајте фазу, затим дневник

Кад услуга ради, фаза квара одлучује где даље гледати. Застој током IKE-а обично значи да UDP 500 или 4500 никада није стигао до сервера или да сервер стоји иза NAT-а без одговарајуће поставке инкапсулације. Доћи до упита за акредитиве и тамо заказати проблем је провере аутентичности PPP-а, а не IPsec-а. Тунел који се подигне и ништа не достигне квар је рутирања или подељеног тунела, и само прва од тих трију станује у профилу VPN-а.

Профили са сертификатом додају сопствену фазу. Клијент мора да верује издаваоцу, а сертификат мора да именује сервер који се проверава; кад закаже било који од двају услова, дијалошки оквир и даље пријављује грешку почетног преговарања, па је дневник догађаја место где се појављује прави разлог. Прочитајте запис у дневнику пре уређивања профила јер дијалошки оквир сажима неколико различитих кварова у једну реченицу. Истекао сертификат производи исти дијалошки оквир као онемогућена услуга, и зато је запис у дневнику важан.

Забележите фазу која закаже, текст грешке и временску ознаку за сваки покушај. Та три поља одвајају проблем достижности од проблема провере аутентичности и од проблема рутирања те следећу промену чине одлуком уместо нагађањем.

Шта локална поправка не може да докаже

Враћање услуге поправља половину пута која се налази на преносном рачунару. Услуга која ради доказује само локалну половину: удаљени крај мора још да прихвати изабрани предлог, достављене акредитиве и изворну адресу са које пакет долази. Ништа што се учини на преносном рачунару не надокнађује заштитни зид који одбацује UDP 500 пре него што стигне до партнера. Успешно стање услуге предуслов је, а не доказ да ће се тунел подигнути.

Онемогућити IKEEXT ради ослобађања портова оправдано је само ако прихватите да Windowsови IPsec VPN-ови престају да раде. Решава сукоб портова уклањањем функције којој је порт требао, а то је ретко замена коју је корисник намеравао. Пре него што било шта промените, потврдите да услуга постоји, да је постављена на Automatic и да ради, да није инсталиран други IPsec стек и да се унапред дељени кључ или ланац сертификата подудара са приступном тачком.

• IKEEXT постоји, постављен је на Automatic и ради пре него што се клијент повеже.
• Ништа друго не држи UDP 500 ни 4500.
• Од старог клијента не остаје други IPsec стек.
• Кључ или ланац сертификата подудара се са конфигурацијом приступне тачке.
• Фаза која је заказала забележена је пре уређивања профила.