IKEEXT hizmeti devre dışıyken L2TP/IPsec başarısız oluyor

Bir dizüstü bilgisayar IKEv2 ağ geçidine ulaşıyor ancak L2TP/IPsec ağ geçidine karşı başarısız oluyor, ve hata, herhangi bir kullanıcı adı gönderilmeden önce ortaya çıkıyor. Profil genellikle ilk şüphelidir ve genellikle yanlış olandır. Windows IPsec anahtar değişimini bir hizmette yürütür ve bu hizmet devre dışıyken yerleşik istemcinin görüşebileceği bir yığını yoktur. Profilin tek bir alanına dokunmadan önce hizmeti doğrulayın, ardından onu neyin devre dışı bıraktığını bulun.

Arızanın arkasındaki hizmet

Hizmet listesinde IKEEXT olarak görünen IKE and AuthIP IPsec Keying Modules, anahtar değişimini yapar ve Windows'ta UDP 500 ile 4500 yuvalarını tutar. Devre dışı bırakın; hem L2TP/IPsec hem de IKEv2 görüşmecisini kaybeder, oysa PPTP ve SSTP çalışmaya devam edebilir çünkü ona bağlı değildir. Bu ayrım, bir kullanıcının aynı makinede bir VPN türünün çalıştığını, diğerinin ölü olduğunu bildirebilmesinin nedenidir. Hizmet işletim sisteminin parçasıdır, bu yüzden hiçbir profil ayarı onun yerini tutamaz.

Bu iki bağlantı noktasını serbest bırakmak, kötü tavsiyeler üreten yan etkidir. Bir araç veya forum gönderisi 500 ile 4500'ün meşgul olduğunu fark eder, onları serbest bırakmak için hizmeti durdurur ve böylece IPsec'i ana bilgisayardan sessizce kaldırır. İki etki tek bir eylemdir, bu yüzden bağlantı noktalarını temizlemeyi öneren her rehber bir onarım değil, bir takas anlatır.

Hizmeti tahmin etmeden geri koyun

Hizmet yöneticisine iki soru sorun: başlangıç türü nedir ve geçerli durum nedir. Birincisi hizmetin yeniden başlatmadan sonra geri dönüp dönmeyeceğini, ikincisi şu anda çalışıp çalışmadığını söyler. Her iki sorguyu da yükseltilmiş bir komut isteminden çalıştırın, böylece aynı kabuk ayarı sonradan değiştirebilsin.

sc qc ikeext
sc query ikeext

Disabled başlangıç türü tüm belirtiyi açıklar ve çözüm onu Automatic'e geri alıp hizmeti başlatmaktır. Services konsolunda giriş, görünen adıyla, yani IKE and AuthIP IPsec Keying Modules olarak görünür, bu yüzden o listede IKEEXT aramak hiçbir şey bulmaz. Hizmet, başarısız bir bağlantı zaten çalıştıktan sonra başlatıldıysa yeniden başlatın, çünkü bu sırayla başlatılan bir yığın, ilgisiz görünen biçimlerde başarısız olabilir.

sc config ikeext start= auto
net start ikeext

Onu tekrar ne kapatır

Bazı üçüncü taraf VPN paketleri kendi IPsec uygulamalarını getirir ve kurulum sırasında IKEEXT'i devre dışı bırakır, ardından Windows istemcisi çalışmayı bırakır. Diğer ürünü kaldırmak, profil düzenlemelerinin hiçbir şey elde edemediği makinelerde L2TP/IPsec'i geri getirdi; çakışan bileşen olmadan yeniden kurmak da aynısını yaptı. Hizmet kurulum sırasında devre dışı bırakıldı, kullanıcı tarafından değiştirilmedi.

Grup İlkesi de başlangıç türünü sabitleyebilir; bu durumda yerel değişiklik bir sonraki yenilemede geri alınır ve ilkenin sahibi olan yöneticinin onu değiştirmesi gerekir. Başlangıç türünü yeniden başlatmadan önce, yeniden başlatmadan sonra ve diğer ürün güncellendikten sonra her seferinde tarihiyle not edin. Sürekli Disabled'a dönen bir değer, sahibini tahminle değil desenle ele verir.

Önce aşamayı, sonra günlüğü okuyun

Hizmet çalışırken arızanın aşaması, bundan sonra nereye bakılacağını belirler. IKE sırasındaki bir duraklama genellikle UDP 500 veya 4500'ün sunucuya hiç ulaşmadığı veya sunucunun eşleşen kapsülleme ayarı olmadan NAT arkasında olduğu anlamına gelir. Kimlik bilgisi istemine ulaşıp orada başarısız olmak bir PPP kimlik doğrulama sorunudur, IPsec sorunu değil. Ayağa kalkan ama hiçbir yere ulaşamayan bir tünel, yönlendirme veya bölünmüş tünel hatasıdır ve bu üçünden yalnızca ilki VPN profilinde yaşar.

Sertifikalı profiller kendi aşamalarını ekler. İstemci veren otoriteye güvenmeli ve sertifika doğrulanan sunucuyu adlandırmalıdır; iki koşuldan biri başarısız olduğunda iletişim kutusu yine de bir ilk anlaşma hatası bildirir, bu yüzden gerçek nedenin göründüğü yer olay günlüğüdür. Profili düzenlemeden önce günlük kaydını okuyun, çünkü iletişim kutusu birkaç ayrı hatayı tek bir cümleye sıkıştırır. Süresi dolmuş bir sertifika, devre dışı bir hizmetle aynı iletişim kutusunu üretir, bu yüzden günlük kaydı önemlidir.

Her deneme için başarısız aşamayı, hata metnini ve zaman damgasını kaydedin. Bu üç alan, erişilebilirlik sorununu kimlik doğrulama sorunundan ve yönlendirme sorunundan ayırır ve sonraki değişikliği tahmin yerine karar hâline getirir.

Yerel bir onarımın kanıtlayamayacağı şey

Hizmeti geri yüklemek, yolun dizüstü bilgisayarda bulunan yarısını düzeltir. Çalışan bir hizmet yalnızca yerel yarıyı kanıtlar: uzak uç hâlâ seçilen öneriyi, sağlanan kimlik bilgilerini ve paketin geldiği kaynak adresi kabul etmelidir. Dizüstü bilgisayarda yapılan hiçbir şey, UDP 500'ü eşe ulaşmadan önce atan bir güvenlik duvarını telafi etmez. Başarılı bir hizmet durumu bir ön koşuldur, tünelin ayağa kalkacağının kanıtı değildir.

Bağlantı noktalarını serbest bırakmak için IKEEXT'i devre dışı bırakmak, ancak Windows IPsec VPN'lerinin çalışmayı bırakmasını kabul ediyorsanız savunulabilir. Bağlantı noktasına ihtiyaç duyan özelliği kaldırarak bir bağlantı noktası çakışmasını çözer ve bu, kullanıcının amaçladığı takas nadiren olur. Herhangi bir şeyi değiştirmeden önce hizmetin var olduğunu, Automatic'e ayarlandığını ve çalıştığını, ikinci bir IPsec yığınının kurulu olmadığını ve ön paylaşımlı anahtarın veya sertifika zincirinin ağ geçidiyle eşleştiğini doğrulayın.

• IKEEXT var, Automatic'e ayarlı ve istemci bağlanmadan önce çalışıyor.
• Başka hiçbir şey UDP 500 veya 4500'ü tutmuyor.
• Eski bir istemciden ikinci bir IPsec yığını kalmıyor.
• Anahtar veya sertifika zinciri ağ geçidi yapılandırmasıyla eşleşiyor.
• Başarısız aşama, profil düzenlenmeden önce kaydedildi.