L2TP/IPsec ล้มเหลวเมื่อบริการ IKEEXT ถูกปิดใช้งาน

แล็ปท็อปเครื่องหนึ่งไปถึงเกตเวย์ IKEv2 ได้แต่ล้มเหลวกับเกตเวย์ L2TP/IPsec และข้อผิดพลาดเกิดขึ้นก่อนที่จะมีการส่งชื่อผู้ใช้ใด ๆโปรไฟล์มักเป็นผู้ต้องสงสัยรายแรกและมักเป็นตัวที่ผิด Windows ทำการแลกเปลี่ยนคีย์ IPsec ในบริการ และตราบใดที่บริการนั้นถูกปิดใช้งาน ไคลเอนต์ที่มีมาให้ก็ไม่มีสแตกให้เจรจา ตรวจสอบบริการก่อนแตะฟิลด์โปรไฟล์แม้แต่ฟิลด์เดียว แล้วหาสิ่งที่ปิดใช้งานมัน

บริการที่อยู่เบื้องหลังความล้มเหลว

IKE and AuthIP IPsec Keying Modules ซึ่งแสดงเป็น IKEEXT ในรายการบริการ ทำการแลกเปลี่ยนคีย์และถือซ็อกเก็ต UDP 500 และ 4500 บน Windows ปิดใช้งานมันแล้วทั้ง L2TP/IPsec และ IKEv2 จะสูญเสียตัวเจรจา ในขณะที่ PPTP และ SSTP ยังทำงานได้เพราะไม่ขึ้นกับมัน การแบ่งแบบนี้อธิบายว่าทำไมผู้ใช้จึงรายงานว่า VPN ชนิดหนึ่งทำงานและอีกชนิดหนึ่งตายบนเครื่องเดียวกัน บริการเป็นส่วนหนึ่งของระบบปฏิบัติการ ดังนั้นการตั้งค่าโปรไฟล์ใดก็แทนที่มันไม่ได้

การปลดปล่อยสองพอร์ตนั้นคือผลข้างเคียงที่ก่อให้เกิดคำแนะนำแย่ ๆ เครื่องมือหรือโพสต์ในฟอรัมสังเกตว่า 500 และ 4500 ถูกใช้งานอยู่ จึงหยุดบริการเพื่อปลดปล่อยพอร์ตเหล่านั้น และด้วยเหตุนี้จึงลบ IPsec ออกจากโฮสต์อย่างเงียบ ๆ ผลทั้งสองเป็นการกระทำเดียว ดังนั้นคู่มือใดที่แนะนำให้เคลียร์พอร์ตจึงอธิบายการแลกเปลี่ยนไม่ใช่การซ่อม

คืนบริการโดยไม่เดา

ถามผู้จัดการบริการสองคำถาม: ชนิดการเริ่มต้นคืออะไร และสถานะปัจจุบันคืออะไร คำแรกบอกว่าบริการจะกลับมาหลังรีบูตหรือไม่ คำที่สองบอกว่าตอนนี้ทำงานอยู่หรือไม่ รันทั้งสองคำสั่งจากพรอมต์คำสั่งที่ยกสิทธิ์ เพื่อให้เชลล์เดิมเปลี่ยนการตั้งค่าได้ในภายหลัง

sc qc ikeext
sc query ikeext

ชนิดการเริ่มต้น Disabled อธิบายอาการทั้งหมด และวิธีแก้คือตั้งกลับเป็น Automatic แล้วเริ่มบริการ ในคอนโซล Services รายการจะปรากฏภายใต้ชื่อที่แสดง คือ IKE and AuthIP IPsec Keying Modules ดังนั้นการค้นหา IKEEXT ในรายการนั้นจึงไม่พบอะไร รีบูตหากบริการเพิ่งเริ่มหลังการเชื่อมต่อที่ล้มเหลวทำงานไปแล้ว เพราะสแตกที่เริ่มต้นตามลำดับนั้นอาจล้มเหลวในแบบที่ดูไม่เกี่ยวข้อง

sc config ikeext start= auto
net start ikeext

อะไรปิดมันอีกครั้ง

ชุด VPN บางตัวจากบุคคลที่สามมาพร้อมการใช้งาน IPsec ของตัวเองและปิดใช้งาน IKEEXT ระหว่างการติดตั้ง หลังจากนั้นไคลเอนต์ Windows ก็หยุดทำงาน การถอนผลิตภัณฑ์อื่นออกช่วยคืน L2TP/IPsec บนเครื่องที่การแก้ไขโปรไฟล์ไม่ได้ผล และการติดตั้งใหม่โดยไม่มีองค์ประกอบที่ขัดแย้งก็เช่นกัน บริการถูกปิดใช้งานตอนติดตั้ง ไม่ได้ถูกผู้ใช้สลับ

นโยบายกลุ่มก็ปักหมุดชนิดการเริ่มต้นได้เช่นกัน ในกรณีนั้นการเปลี่ยนแปลงภายในเครื่องจะถูกย้อนกลับเมื่อรีเฟรชครั้งถัดไป และผู้ดูแลที่มีนโยบายนั้นต้องเป็นคนเปลี่ยน บันทึกชนิดการเริ่มต้นก่อนรีบูต หลังรีบูต และหลังการอัปเดตของผลิตภัณฑ์อื่น พร้อมวันที่ทุกครั้ง ค่าที่กลับไปเป็น Disabled ซ้ำ ๆ จะเผยเจ้าของผ่านรูปแบบ ไม่ใช่ผ่านการเดา

อ่านระยะก่อน แล้วจึงอ่านบันทึก

เมื่อบริการทำงาน ระยะของความล้มเหลวจะเป็นตัวกำหนดว่าต้องดูที่ใดต่อ การค้างระหว่าง IKE มักหมายความว่า UDP 500 หรือ 4500 ไม่เคยไปถึงเซิร์ฟเวอร์ หรือเซิร์ฟเวอร์อยู่หลัง NAT โดยไม่มีการตั้งค่าการห่อหุ้มที่ตรงกัน การไปถึงพรอมต์ข้อมูลรับรองแล้วล้มเหลวตรงนั้นเป็นปัญหาการพิสูจน์ตัวตน PPP ไม่ใช่ IPsec อุโมงค์ที่ขึ้นมาแล้วไปไม่ถึงอะไรเลยเป็นความผิดพลาดของการกำหนดเส้นทางหรืออุโมงค์แบบแยก และมีเพียงอย่างแรกในสามอย่างนั้นที่อยู่ในโปรไฟล์ VPN

โปรไฟล์ที่มีใบรับรองเพิ่มระยะของตัวเอง ไคลเอนต์ต้องเชื่อถือผู้ออกใบรับรอง และใบรับรองต้องระบุชื่อเซิร์ฟเวอร์ที่ถูกตรวจสอบ เมื่อเงื่อนไขใดเงื่อนไขหนึ่งล้มเหลว กล่องโต้ตอบก็ยังรายงานข้อผิดพลาดการเจรจาเริ่มต้น ดังนั้นบันทึกเหตุการณ์คือที่ที่เหตุผลจริงปรากฏ อ่านรายการบันทึกก่อนแก้ไขโปรไฟล์ เพราะกล่องโต้ตอบบีบความล้มเหลวหลายอย่างที่แตกต่างกันไว้ในประโยคเดียว ใบรับรองที่หมดอายุให้กล่องโต้ตอบเหมือนกับบริการที่ถูกปิดใช้งาน นั่นคือเหตุผลที่รายการบันทึกสำคัญ

บันทึกระยะที่ล้มเหลว ข้อความข้อผิดพลาด และเวลา สำหรับทุกความพยายาม สามฟิลด์นี้แยกปัญหาการเข้าถึงออกจากปัญหาการพิสูจน์ตัวตนและปัญหาการกำหนดเส้นทาง และทำให้การเปลี่ยนแปลงครั้งถัดไปเป็นการตัดสินใจไม่ใช่การเดา

สิ่งที่การซ่อมในเครื่องพิสูจน์ไม่ได้

การคืนบริการแก้ไขครึ่งหนึ่งของเส้นทางที่อยู่บนแล็ปท็อป บริการที่ทำงานพิสูจน์ได้เพียงครึ่งในเครื่องเท่านั้น ปลายทางไกลยังต้องยอมรับข้อเสนอที่เลือก ข้อมูลรับรองที่ให้ไป และที่อยู่ต้นทางที่แพ็กเก็ตมาจาก ไม่มีสิ่งใดที่ทำบนแล็ปท็อปชดเชยไฟร์วอลล์ที่ทิ้ง UDP 500 ก่อนมันไปถึงเพื่อนได้ สถานะบริการที่สำเร็จเป็นข้อกำหนดเบื้องต้น ไม่ใช่หลักฐานว่าอุโมงค์จะขึ้น

การปิดใช้งาน IKEEXT เพื่อปลดปล่อยพอร์ตนั้นป้องกันได้ก็ต่อเมื่อคุณยอมรับว่า VPN แบบ IPsec ของ Windows จะหยุดทำงาน มันแก้ปัญหาพอร์ตชนกันด้วยการลบคุณสมบัติที่ต้องใช้พอร์ต ซึ่งแทบไม่ใช่การแลกเปลี่ยนที่ผู้ใช้ตั้งใจ ก่อนเปลี่ยนอะไร ให้ยืนยันว่าบริการมีอยู่ ถูกตั้งเป็น Automatic และทำงานอยู่ ไม่มีสแตก IPsec ตัวที่สองติดตั้งอยู่ และคีย์ที่แชร์ล่วงหน้าหรือห่วงโซ่ใบรับรองตรงกับเกตเวย์

• IKEEXT มีอยู่ ถูกตั้งเป็น Automatic และทำงานอยู่ก่อนที่ไคลเอนต์จะเชื่อมต่อ
• ไม่มีสิ่งอื่นใดถือ UDP 500 หรือ 4500 อยู่
• ไม่มีสแตก IPsec ตัวที่สองหลงเหลือจากไคลเอนต์เก่า
• คีย์หรือห่วงโซ่ใบรับรองตรงกับการกำหนดค่าเกตเวย์
• ระยะที่ล้มเหลวถูกบันทึกไว้ก่อนแก้ไขโปรไฟล์