L2TP/IPsec thất bại khi dịch vụ IKEEXT bị tắt

Một laptop tới được cổng IKEv2 nhưng thất bại với cổng L2TP/IPsec, và lỗi xuất hiện trước khi bất kỳ tên người dùng nào được gửi đi. Hồ sơ thường là nghi phạm đầu tiên và thường là cái sai. Windows chạy việc trao đổi khóa IPsec trong một dịch vụ, và chừng nào dịch vụ đó còn tắt, ứng dụng khách tích hợp không có ngăn xếp nào để thương lượng. Kiểm tra dịch vụ trước khi chạm vào dù chỉ một trường của hồ sơ, rồi tìm ra thứ đã tắt nó.

Dịch vụ đằng sau sự cố

IKE and AuthIP IPsec Keying Modules, được hiển thị là IKEEXT trong danh sách dịch vụ, thực hiện trao đổi khóa và giữ các ổ cắm UDP 500 và 4500 trên Windows. Tắt nó đi thì cả L2TP/IPsec lẫn IKEv2 đều mất bộ thương lượng, trong khi PPTP và SSTP có thể tiếp tục hoạt động vì chúng không phụ thuộc vào nó. Sự phân tách đó giải thích vì sao người dùng có thể báo rằng một loại VPN chạy còn loại kia chết trên cùng một máy. Dịch vụ là một phần của hệ điều hành, nên không thiết lập hồ sơ nào thay thế được nó.

Giải phóng hai cổng đó chính là tác dụng phụ sinh ra lời khuyên tồi. Một công cụ hay bài đăng diễn đàn nhận thấy 500 và 4500 đang bị chiếm, dừng dịch vụ để giải phóng chúng, và qua đó âm thầm gỡ IPsec khỏi máy. Hai tác dụng là một hành động duy nhất, nên bất kỳ hướng dẫn nào khuyên dọn cổng là đang mô tả một cuộc đánh đổi chứ không phải sửa chữa.

Đưa dịch vụ trở lại mà không đoán

Hỏi trình quản lý dịch vụ hai câu: kiểu khởi động là gì, và trạng thái hiện tại là gì. Câu đầu cho biết dịch vụ có trở lại sau khi khởi động lại hay không; câu sau cho biết nó có đang chạy ngay lúc này không. Chạy cả hai truy vấn từ dấu nhắc lệnh nâng quyền để cùng shell đó có thể đổi thiết lập về sau.

sc qc ikeext
sc query ikeext

Kiểu khởi động Disabled giải thích toàn bộ triệu chứng, và cách sửa là đặt lại thành Automatic rồi khởi động dịch vụ. Trong bảng điều khiển Services, mục này hiện dưới tên hiển thị IKE and AuthIP IPsec Keying Modules, nên tìm IKEEXT trong danh sách đó không thấy gì. Khởi động lại nếu dịch vụ chỉ được khởi động sau khi một kết nối thất bại đã chạy, vì một ngăn xếp khởi tạo theo thứ tự đó có thể lỗi theo những cách trông không liên quan.

sc config ikeext start= auto
net start ikeext

Điều gì lại tắt nó

Một số bộ VPN của bên thứ ba mang theo bản triển khai IPsec riêng và tắt IKEEXT trong lúc cài đặt, sau đó ứng dụng khách Windows ngừng hoạt động. Gỡ sản phẩm kia đã khôi phục L2TP/IPsec trên những máy mà việc sửa hồ sơ không mang lại gì, và cài lại nó mà không có thành phần xung đột cũng vậy. Dịch vụ bị tắt ở thời điểm cài đặt, không phải do người dùng chuyển.

Chính sách nhóm cũng có thể ghim kiểu khởi động; khi đó một thay đổi cục bộ sẽ bị hoàn lại ở lần làm mới tiếp theo và quản trị viên sở hữu chính sách phải đổi nó. Ghi lại kiểu khởi động trước khi khởi động lại, sau khi khởi động lại và sau khi sản phẩm kia cập nhật, lần nào cũng kèm ngày. Một giá trị cứ quay về Disabled sẽ lộ ra chủ nhân của nó qua quy luật, chứ không qua phỏng đoán.

Đọc giai đoạn trước, rồi đọc nhật ký

Khi dịch vụ chạy, giai đoạn của sự cố quyết định xem tiếp theo nhìn vào đâu. Kẹt trong lúc IKE thường có nghĩa là UDP 500 hoặc 4500 chưa bao giờ tới được máy chủ, hoặc máy chủ nằm sau NAT mà thiếu thiết lập đóng gói tương ứng. Tới được lời nhắc thông tin đăng nhập rồi thất bại ở đó là vấn đề xác thực PPP, không phải IPsec. Một đường hầm dựng lên mà không tới được đâu là lỗi định tuyến hoặc đường hầm chia đôi, và chỉ cái đầu trong ba cái đó nằm trong hồ sơ VPN.

Hồ sơ có chứng chỉ thêm một giai đoạn riêng. Ứng dụng khách phải tin cậy nhà phát hành và chứng chỉ phải nêu tên máy chủ đang được xác thực; khi một trong hai điều kiện không đạt, hộp thoại vẫn báo lỗi thương lượng ban đầu, nên nhật ký sự kiện là nơi lý do thật xuất hiện. Đọc mục nhật ký trước khi sửa hồ sơ, vì hộp thoại nén vài lỗi khác nhau vào một câu. Một chứng chỉ hết hạn tạo ra hộp thoại giống hệt khi dịch vụ bị tắt, nên mục nhật ký mới quan trọng.

Ghi lại giai đoạn thất bại, văn bản lỗi và dấu thời gian cho mỗi lần thử. Ba trường đó tách vấn đề khả năng tiếp cận khỏi vấn đề xác thực và vấn đề định tuyến, và biến thay đổi tiếp theo thành quyết định thay vì phỏng đoán.

Điều một sửa chữa cục bộ không thể chứng minh

Khôi phục dịch vụ chỉ sửa nửa đường nằm trên laptop. Một dịch vụ chạy tốt chỉ chứng minh nửa cục bộ: đầu xa vẫn phải chấp nhận đề nghị đã chọn, thông tin đăng nhập đã cấp và địa chỉ nguồn mà gói tin đến từ đó. Không gì làm trên laptop bù được cho một tường lửa vứt bỏ UDP 500 trước khi nó tới được đối tác. Trạng thái dịch vụ thành công là điều kiện tiên quyết, không phải bằng chứng rằng đường hầm sẽ dựng lên.

Tắt IKEEXT để giải phóng cổng chỉ biện hộ được nếu bạn chấp nhận rằng VPN IPsec của Windows ngừng hoạt động. Nó giải quyết xung đột cổng bằng cách gỡ bỏ tính năng cần cổng đó, và đó hiếm khi là cuộc đánh đổi mà người dùng định làm. Trước khi đổi bất cứ thứ gì, hãy xác nhận dịch vụ có mặt, được đặt thành Automatic và đang chạy, không có ngăn xếp IPsec thứ hai được cài, và khóa chia sẻ trước hoặc chuỗi chứng chỉ khớp với cổng.

• IKEEXT có mặt, được đặt thành Automatic và đang chạy trước khi ứng dụng khách kết nối.
• Không thứ gì khác giữ UDP 500 hay 4500.
• Không còn ngăn xếp IPsec thứ hai từ ứng dụng khách cũ.
• Khóa hoặc chuỗi chứng chỉ khớp với cấu hình cổng.
• Giai đoạn thất bại đã được ghi lại trước khi sửa hồ sơ.