Azure VPN Client: платформа VPN не запустила злучэнне
Паўторны імпарт, рамонт і скід каштуюць па-рознаму. Разбірайце збой перадачы па парадку цаны, а потым аддзяляйце праблему сховішча ад праблемы шлюза.
Радок стану кажа, што платформа VPN не запустила злучэнне, профіль імпартуецца без скаргаў, а шлюз здаровы для ўсіх астатніх. Гэта паведамленне апісвае перадачу ўнутры Windows, а не адхіленыя ўліковыя даныя, таму карысны парадак ідзе ад самага таннага змянення стану да самага разбуральнага. Паўторны імпарт профілю каштуе хвіліну, рамонт пакета — перазапуск, а скід — кожны профіль на машыне. Праца ў няправільным парадку знішчае доказы, патрэбныя, каб адрозніць гэтыя выпадкі.
Паўторны імпарт, рамонт, скід: тры розныя цэны
Гэтыя дзеянні не ўзаемазаменныя, і толькі адно з іх зваротнае без працы. Паўторны імпарт абнаўляе профіль і захоўвае ўсталяванне праграмы. Рамонт захоўвае імпартаваныя профілі і перапісвае файлы пакета. Скід выдаляе профілі разам са станам праграмы, таму пасля вы імпартуеце ўсё нанова.
| Action | Keeps | Removes |
|---|---|---|
| Re-import profile | App, other profiles | The stale profile entry |
| Repair package | Imported profiles | Damaged app files |
| Reset app | Nothing local | All profiles and app state |
Пачніце са свежага спампоўвання azurevpnconfig.xml, калі шлюз, пул адрасоў або метад аўтэнтыфікацыі змяніліся. Профіль, які называе выдалены шлюз, дае менавіта гэты радок стану, і ніякі рамонт кліента не выправіць файл, што паказвае на тое, чаго ўжо няма.
Перад любым разбуральным крокам праверце, што праграме дазволена працаваць у фоне: Налады, Праграмы, Усталяваныя праграмы, Azure VPN Client, Дадатковыя параметры. Прыпынены кліент не можа завяршыць перадачу платформы.
RasMan — гэта служба, якой кліент перадае кіраванне
Remote Access Connection Manager пераўтварае запыт кліента ў злучэнне Windows. Перазапусціце яго з падвышанага радка: net stop rasman, затым net start rasman, і падключыцеся зноў, перш чым нешта іншае змяняць.
Калі гэта аднавіла злучэнне, задайце тып запуску, каб выпраўленне перажыло перазагрузку: sc.exe config rasman start= delayed-auto. Служба, якая зараз працуе, але адключана пры загрузцы, узнавіць тую ж памылку заўтра ранкам.
Сачыце за службай, якая запускаецца і потым спыняецца сама. Такі ўзор паказвае на залежнасць або палітыку, і перазапуск будзе трымацца хвілінамі, што горш за чысты збой, бо выглядае як перарывістая праблема сеткі. Праверце журнал System каля часу спробы на імя службы і пацвердзіце, што залежнасці таксама працуюць.
Бягучы карыстальнік або лакальная машына: два сховішчы сертыфікатаў
Калі кліент адкрываецца з пустым спісам сертыфікатаў, вінаваты не профіль і не служба. Кліент чытае асабістае сховішча бягучага карыстальніка: адкрыйце certmgr.msc, разгарніце Certificates, Current User, Personal, Certificates і пацвердзіце, што сертыфікат там з прыватным ключом.
Сховішча лакальнай машыны, якое адкрываецца праз certlm.msc, — іншае сховішча, і ўсталяванне там не задаволіць кліента, які шукае ў сховішчы карыстальніка. Пры аўтэнтыфікацыі сертыфікатам шлюз трымае толькі публічны ключ кораня, і кожнай прыладзе патрэбны свой сертыфікат, выдадзены з гэтага кораня. Сертыфікат, скапіяваны з іншай машыны, звычайна прыходзіць без прыватнага ключа, што дае запіс, які можна выбраць, але якім нельга аўтэнтыфікавацца.
Пусты выбар — гэта праблема сховішча, а не тунэля.
Аўтэнтыфікацыя сертыфікатам або Azure AD: розныя формы збою
Для аўтэнтыфікацыі Azure AD канфігурацыі пункт-да-сайта патрэбны URL арандатара, ідэнтыфікатар праграмы Azure VPN Client як аўдыторыя і эмітэнт STS, а адміністратар павінен даць згоду праграме Azure VPN. Захавайце гэту канфігурацыю, спампуйце пакет зноў і імпартуйце новы файл замест старой копіі.
Таксама пераканайцеся, што пул адрасоў кліента не перакрывае віртуальную сетку або лакальны дыяпазон і што група сеткавай бяспекі мэтавай машыны дазваляе пул. Гэтыя дзве памылкі перажываюць любы рамонт на баку кліента.
Бок ноўтбука або бок шлюза
Не ацэньвайце тунэль па праверцы публічнага адраса. Злучэнне пункт-да-сайта не адпраўляе ўвесь інтэрнэт-трафік у Azure, таму нязменны публічны адрас чаканы, пакуль тунэль працуе правільна. Замест гэтага праверце прыватны адрас унутры віртуальнай сеткі і прачытайце эфектыўныя маршруты на машыне.
Запішыце, які крок аднавіў злучэнне, версію кліента, дату спампоўвання профілю і што дало ўліковыя даныя — сертыфікат ці пастаўшчык ідэнтычнасці. Гэты запіс робіць наступны выпадак праверкай на дзве хвіліны і паказвае, ці збоі дрейфуюць да шлюза, а не застаюцца на ноўтбуку.
Парадак працы: паўторна імпартуйце актуальны профіль, перазапусціце RasMan, дазвольце фонавы запуск, адрамантуйце пакет і рабіце скід толькі калі сховішча сертыфікатаў пацверджана цэлым.