Nabibigo ang L2TP/IPsec kapag naka-disable ang serbisyong IKEEXT

Isang laptop ang nakakaabot sa IKEv2 gateway pero nabibigo sa L2TP/IPsec gateway, at dumarating ang error bago ipadala ang anumang username. Ang profile ang karaniwang unang hinala at karaniwang mali. Pinapatakbo ng Windows ang IPsec key exchange sa isang serbisyo, at habang naka-disable ang serbisyong iyon, walang stack ang built-in na kliyente para makipagnegosasyon. Suriin ang serbisyo bago hawakan ang kahit isang field ng profile, pagkatapos alamin kung ano ang nag-disable nito.

Ang serbisyo sa likod ng kabiguan

Ang IKE and AuthIP IPsec Keying Modules, na lumalabas bilang IKEEXT sa listahan ng serbisyo, ang gumagawa ng key exchange at humahawak sa UDP 500 at 4500 socket sa Windows. I-disable ito at mawawala ang negosyador ng parehong L2TP/IPsec at IKEv2, habang patuloy namang gumagana ang PPTP at SSTP dahil hindi sila umaasa rito. Ang paghahating iyon ang dahilan kung bakit puwedeng iulat ng user na gumagana ang isang uri ng VPN at patay ang isa sa parehong makina. Bahagi ng operating system ang serbisyong ito, kaya walang setting ng profile ang makapapalit dito.

Ang pagpapalaya sa dalawang port na iyon ang side effect na nagbubunga ng masamang payo. May tool o forum post na makakapansin na okupado ang 500 at 4500, ihihinto ang serbisyo para palayain ang mga ito, at sa gayon tahimik na aalisin ang IPsec mula sa host. Isang aksyon lang ang dalawang epekto, kaya anumang gabay na nagrerekomenda ng paglilinis ng port ay naglalarawan ng palitan, hindi ng pagkukumpuni.

Ibalik ang serbisyo nang hindi nanghuhula

Tanungin ang service manager ng dalawang bagay: ano ang startup type, at ano ang kasalukuyang estado. Sinasabi ng una kung babalik ang serbisyo pagkatapos ng restart; sinasabi ng pangalawa kung tumatakbo ito ngayon. Patakbuhin ang dalawang query mula sa elevated na command prompt para mabago ng parehong shell ang setting pagkatapos.

sc qc ikeext
sc query ikeext

Ipinapaliwanag ng startup type na Disabled ang buong sintomas, at ang solusyon ay ibalik ito sa Automatic at simulan ang serbisyo. Sa Services console, lumalabas ang entry sa ilalim ng display name nito, IKE and AuthIP IPsec Keying Modules, kaya walang mahanap ang paghahanap ng IKEEXT sa listahang iyon. I-restart kung ang serbisyo ay sinimulan lamang pagkatapos tumakbo ang isang bigong koneksyon, dahil ang stack na na-initialize sa ganoong pagkakasunod-sunod ay maaaring mabigo sa mga paraang mukhang walang kaugnayan.

sc config ikeext start= auto
net start ikeext

Ano ang muling nagpapatay nito

May mga third-party VPN suite na may sariling IPsec implementation at dine-disable ang IKEEXT sa pag-install, at pagkatapos ay humihinto na sa paggana ang Windows client. Ang pagtanggal sa kabilang produkto ang nagpanumbalik ng L2TP/IPsec sa mga makinang walang naabot ang pag-edit ng profile, at ganoon din ang muling pag-install nito na walang salungat na component. Na-disable ang serbisyo noong pag-install, hindi ito inilipat ng user.

Maaari ring i-pin ng group policy ang startup type; sa ganoong kaso, ibinabalik ang lokal na pagbabago sa susunod na refresh at kailangang baguhin ito ng administrator na may-ari ng policy. Itala ang startup type bago mag-restart, pagkatapos nito at pagkatapos ng update ng kabilang produkto, may petsa sa bawat pagkakataon. Ang value na paulit-ulit na bumabalik sa Disabled ay nagbubunyag ng may-ari nito sa pamamagitan ng pattern, hindi ng hula.

Basahin muna ang yugto, pagkatapos ang log

Habang tumatakbo ang serbisyo, ang yugto ng kabiguan ang nagtatakda kung saan titingin sa susunod. Ang paghinto sa IKE ay karaniwang nangangahulugang hindi kailanman umabot ang UDP 500 o 4500 sa server, o nasa likod ng NAT ang server na walang tugmang encapsulation setting. Ang umabot sa credential prompt at mabigo doon ay problema sa PPP authentication, hindi IPsec. Ang tunnel na bumabangon pero walang naaabot ay sira sa routing o split tunnel, at ang una lang sa tatlong iyon ang nasa VPN profile.

Ang mga profile na may certificate ay nagdaragdag ng sariling yugto. Kailangang magtiwala ng kliyente sa issuing authority at kailangang pangalanan ng certificate ang server na vine-validate; kapag nabigo ang alinman sa dalawang kundisyon, nag-uulat pa rin ang dialog ng initial-negotiation error, kaya sa event log lumalabas ang tunay na dahilan. Basahin ang log entry bago i-edit ang profile, dahil pinipiga ng dialog ang ilang magkakaibang kabiguan sa isang pangungusap. Ang expired na certificate ay gumagawa ng parehong dialog gaya ng naka-disable na serbisyo, at iyon ang dahilan kung bakit mahalaga ang log entry.

Itala ang bigong yugto, ang error text at ang timestamp para sa bawat pagtatangka. Hinihiwalay ng tatlong field na iyon ang problema sa abot mula sa problema sa authentication at sa problema sa routing, at ginagawa nilang desisyon ang susunod na pagbabago sa halip na hula.

Ano ang hindi kayang patunayan ng lokal na pagkukumpuni

Ang pagbabalik ng serbisyo ay nag-aayos lamang ng kalahati ng landas na nasa laptop. Ang gumaganang serbisyo ay nagpapatunay lamang ng lokal na kalahati: kailangan pa ring tanggapin ng malayong dulo ang piniling proposal, ang ibinigay na credentials at ang source address kung saan dumarating ang packet. Wala sa anumang ginagawa sa laptop ang makakabawi sa firewall na nagtatapon ng UDP 500 bago pa ito umabot sa peer. Ang matagumpay na estado ng serbisyo ay paunang kundisyon, hindi patunay na babangon ang tunnel.

Ang pag-disable ng IKEEXT para palayain ang mga port ay mapagtatanggol lamang kung tatanggapin mong hihinto sa paggana ang IPsec VPN ng Windows. Niresolba nito ang port conflict sa pamamagitan ng pag-alis ng feature na nangangailangan ng port, at bihira iyon ang palitang sinadya ng user. Bago baguhin ang anuman, tiyakin na may serbisyo, nakatakda sa Automatic at tumatakbo, walang ikalawang IPsec stack na naka-install, at tumutugma sa gateway ang pre-shared key o certificate chain.

• May IKEEXT, nakatakda sa Automatic at tumatakbo bago kumonekta ang kliyente.
• Walang ibang humahawak sa UDP 500 o 4500.
• Walang ikalawang IPsec stack na natitira mula sa lumang kliyente.
• Tumutugma sa configuration ng gateway ang key o certificate chain.
• Naitala ang bigong yugto bago na-edit ang profile.