Выпраўленне памылкі AnyConnect «не ўдалося ініцыялізаваць падсістэму злучэння»

Вы націскаеце «Падключыцца», і дыялог амаль імгненна адказвае: не ўдалося ініцыялізаваць падсістэму злучэння. Да шлюза нічога не дайшло, таму няма ні абмену сертыфікатамі, ні ўліковых даных, ні выбару групы тунеля на іншым баку. Гэта значыць, што журналы канцэнтратара пакажуць пустую сесію, а служба падтрымкі папросіць здымак экрана дыялога, які ніколі не ўтрымліваў нічога карыснага. Замест гэтага працуйце з канчатковым пунктам, у фіксаваным парадку, і спыніцеся на першым кроку, які зменіць вынік.

Час — самы каштоўны доказ, які ў вас ёсць, і запісаць яго нічога не каштуе. Запішыце, ці ўзнікла памылка да запыту ўліковых даных ці пасля, і ці пачалася яна пасля абнаўлення, абнаўлення Windows або новага агента бяспекі. Гэтыя тры адказы звычайна скарачаюць спіс кандыдатаў удвая яшчэ да таго, як вы дакранецеся да любой налады.

Прачытайце час, перш чым нешта змяняць

Тры пункты адмовы выглядаюць падобна, але не з’яўляюцца такімі. Калі дыялог з’яўляецца ў момант націску «Падключыцца», кліент не змог запусціць уласную інфраструктуру, і менавіта на гэта паказвае гэтае паведамленне. Калі ён з’яўляецца пасля ўводу ўліковых даных, група тунеля была дасягнута, і праблема далей. Калі тунель узнімаецца і потым падае, падсістэма ініцыялізавалася правільна, і вы гоніцеся за зусім іншай памылкай. Блытаць гэтыя тры выпадкі — значыць марнаваць паўдня на пераўсталёўкі, якія не могуць дапамагчы.

Толькі першы выпадак адносіцца да гэтага артыкула. Паведамленне генеруецца да прыняцця любога сеткавага рашэння, таму няправільны адрас шлюза, скончаны сертыфікат або дрэнны пароль не выклічуць яго.

Крок 1: пераканайцеся, што служба агента запушчана

Акно, на якое вы націскаеце, — гэта інтэрфейс; праца адбываецца ў службе Cisco AnyConnect Secure Mobility Agent, зарэгістраванай як vpnagent. Калі гэтая служба спынена або адключана, графічны інтэрфейс не мае з кім размаўляць і паведамляе менавіта пра гэтую памылку ініцыялізацыі. Праверце стан і тып запуску з каманднага радка PowerShell з павышанымі правамі:

Get-Service vpnagent | Select-Object Name, Status, StartType
sc.exe qc vpnagent
net start vpnagent

Усталёўшчык, які паважыў раней зададзены ўручную тып запуску, — звычайная прычына таго, што служба аказваецца адключанай, таму праверце StartType, а не проста націскайце «Запусціць». Калі служба запускаецца і спыняецца за некалькі секунд, прачытайце журнал System на прадмет запісаў Service Control Manager, перш чым націскаць «Выправіць»:

Get-WinEvent -FilterHashtable @{LogName="System"; ProviderName="Service Control Manager"} -MaxEvents 40

Заблакаваны драйвер, файл у карантыне або драйвер фільтра ад сторонняга прадукту бяспекі назве сябе ў гэтых падзеях. «Выправіць» пераўсталёўвае паверх таго ж заблакаванага файла і нічога не змяняе, таму журнал падзей ідзе першым.

Крок 2: ачысціце аўтаномны стан, які паведамляе стэк HTTP

Кліент спампоўвае свой профіль і ацэньвае палітыку праз кампаненты HTTP Windows, таму сцяг аўтаномнага рэжыму, усталяваны ў наладах Інтэрнэту карыстальніка, можа зламаць ініцыялізацыю, пакуль кожны браўзер працягвае загружаць старонкі. Праверце значэнне напрамую:

Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name GlobalUserOffline

Значэнне 1 азначае, што стэк WinINet паведамляе выклікальнікам, што машына не мае злучэння; звычайна гэты стан усталёўваецца пунктам меню «Працаваць аўтаномна» ў Internet Explorer або скрыптом аўтаматызацыі. Вярніце яго на 0, выйдзіце і ўвайдзіце зноў і паспрабуйце злучэнне, перш чым змяняць што-небудзь яшчэ.

Калі вам дасталася гэтая машына і вы не можаце сказаць, чаму сцяг быў усталяваны, запішыце гэта ў заяўцы. Нешта іншае на машыне магло ўсталяваць яго наўмысна, і яно вернецца пры наступным уваходзе.

Крок 3: вызваліце віртуальны адаптар ад Hyper-V або ICS

Дзве ролі Windows могуць трымаць кампаненты, патрэбныя кліенту для стварэння адаптара. Hyper-V першая: калі службы віртуальнага камутатара запушчаны, стварэнне адаптара можа праваліцца так, што выявіцца менавіта гэтай памылкай. Спыненне службаў — гэта дыягностыка, а не выпраўленне:

Get-Service vmms, vmcompute | Stop-Service
Get-NetAdapter | Where-Object InterfaceDescription -like "*Hyper-V*"

Калі кліент падключаецца пры спыненых службах, канфлікт пацверджаны, і цяпер вы ведаеце, пра што дамаўляцца з уладальнікам хоста Hyper-V. Пасля гэтага перазапусціце іх, калі машына больш не мае патрэбы ў віртуалізацыі.

Агульны доступ да падключэння да Інтэрнэту — другі ўладальнік. Калі нейкае злучэнне абагульваецца, кліент можа праваліцца яшчэ да стварэння тунеля. Пацвердзіце з дапамогай Get-Service SharedAccess, і калі яна запушчана і ўсталявана на аўтаматычна, прагледзьце адаптары ў пошуках агульнага злучэння і адключыце абагульванне толькі на гэтым адаптары.

Ёсць і больш таннае тлумачэнне, якое трэба выключыць першым. Машына без працоўнага доступу да Інтэрнэту часта паказвае гэтае паведамленне замест памылкі дасяжнасці, таму пераканайцеся, што Test-NetConnection да адраса шлюза і да публічнага хоста абодва паспяховыя, перш чым вінаваціць кліент.

Праверце, затым адкаціце тое, што не спатрэбілася

Праверка — гэта не зялёны шчыт у лотку. Пераканайцеся, што адаптар існуе, мае адрас і прапускае трафік: Get-NetAdapter -Name "Cisco AnyConnect*" павінен паказаць яго запушчаным, ipconfig /all павінен паказаць прызначаны адрас і DNS-серверы, а рэальны запыт да ўнутранага імені павінен вырашацца праз тунель, а не праз лакальны рэзалвер.

Трымайце кароткі спіс кожнай змены па ходзе працы, са значэннем, якое вы знайшлі, і значэннем, якое вы ўсталявалі. Калі злучэнне працуе пасля трэцяга кроку, аднавіце службы Hyper-V і пераправерце, перш чым закрыць заяўку, бо абыход, які ціха адключае віртуалізацыю, будзе адменены наступным адміністратарам, які гэта заўважыць.

Калі ні адзін з трох крокаў не зрушыў памылку, спыніце змяняць канчатковы пункт. Сабярыце версію кліента, стан службы, час з верхняй часткі гэтай старонкі і дыягнастычны пакет, які кліент можа стварыць, затым перадайце іх разам з дакладным парадкам спроб. Гэты пакет каштоўнейшы для наступнага інжынера, чым здымак экрана дыялога, і гэта адзіны артэфакт, які паказвае, ці падсістэма правалілася да дотыку да сеткі ці пасля.