Azure VPN Client: la plataforma VPN no va iniciar la connexió

La línia d'estat diu que la plataforma VPN no va iniciar la connexió, el perfil s'importa sense queixes i la passarel·la està sana per a tota la resta. Aquest missatge descriu un lliurament dins de Windows, no una credencial rebutjada, així que l'ordre útil va del canvi d'estat més barat al més destructiu. Reimportar un perfil costa un minut, reparar el paquet costa un reinici i restablir-lo costa tots els perfils de la màquina. Treballar en l'ordre equivocat destrueix les proves que necessiteu per distingir aquests casos.

Reimportar, reparar, restablir: tres costos diferents

Les tres accions no són intercanviables i només una és reversible sense feina. Reimportar actualitza el perfil i conserva la instal·lació de l'aplicació. Reparar conserva els perfils importats i reescriu els fitxers del paquet. Restablir elimina els perfils juntament amb l'estat de l'aplicació, així que després ho torneu a importar tot.

Comenceu amb una descàrrega nova d'azurevpnconfig.xml sempre que hagin canviat la passarel·la, el conjunt d'adreces o el mètode d'autenticació. Un perfil que anomena una passarel·la esborrada produeix exactament aquesta línia d'estat, i cap reparació del client arregla un fitxer que apunta a una cosa que ja no existeix.

Abans de qualsevol pas destructiu, comproveu que l'aplicació pot funcionar en segon pla: Configuració, Aplicacions, Aplicacions instal·lades, Azure VPN Client, Opcions avançades. Un client suspès no pot completar el lliurament de la plataforma.

RasMan és el servei al qual el client fa el lliurament

El Remote Access Connection Manager converteix una sol·licitud del client en una connexió de Windows. Reinicieu-lo des d'una finestra elevada amb net stop rasman i després net start rasman, i torneu a connectar-vos abans de canviar res més.

Si això restaura la connexió, definiu el tipus d'inici perquè la solució sobrevisqui un reinici: sc.exe config rasman start= delayed-auto. Un servei que ara funciona però està desactivat a l'arrencada reprodueix la mateixa fallada demà al matí.

Vigileu un servei que s'inicia i després s'atura sol. Aquest patró apunta a una dependència o a una política, i reiniciar-lo funcionarà durant minuts, cosa pitjor que una fallada neta perquè sembla un problema de xarxa intermitent. Reviseu el registre System pel nom del servei al voltant del moment de l'intent i confirmeu que les dependències també s'executen.

Usuari actual o equip local: dos magatzems de certificats

Si el client s'obre amb una llista de certificats buida, la culpa no és del perfil ni del servei. El client llegeix el magatzem personal de l'usuari actual: obriu certmgr.msc, desplegueu Certificates, Current User, Personal, Certificates i confirmeu que el certificat hi és amb una clau privada.

El magatzem de l'equip local obert amb certlm.msc és un altre magatzem, i instal·lar-hi no satisfà un client que mira al magatzem de l'usuari. Amb autenticació per certificat, la passarel·la només té la clau pública de l'arrel, i cada dispositiu necessita el seu propi certificat emès per aquesta arrel. Un certificat copiat d'una altra màquina sol arribar sense la seva clau privada, cosa que produeix una entrada que podeu seleccionar però que encara no pot autenticar.

Un selector buit és un problema de magatzem, no de túnel.

Autenticació per certificat o Azure AD: formes de fallada diferents

Per a l'autenticació Azure AD, la configuració punt a lloc necessita l'URL del locatari, l'identificador de l'aplicació Azure VPN Client com a audiència i l'emissor STS, amb un administrador que concedeixi consentiment a l'aplicació Azure VPN. Deseu aquesta configuració, torneu a baixar el paquet i importeu el fitxer nou en lloc de reutilitzar una còpia antiga.

Confirmeu també que el conjunt d'adreces del client no se superposa amb la xarxa virtual ni amb cap rang local, i que el grup de seguretat de xarxa de la màquina de destinació permet el conjunt. Aquests dos errors sobreviuen a qualsevol reparació del costat del client.

Costat del portàtil o costat de la passarel·la

No jutgeu el túnel per una comprovació d'adreça pública. Una connexió punt a lloc no envia tot el trànsit d'internet a Azure, així que una adreça pública sense canvis és l'esperada mentre el túnel funciona correctament. Proveu en canvi una adreça privada dins de la xarxa virtual i llegiu les rutes efectives a la màquina.

Anoteu quina passa va restaurar la connexió, la versió del client, la data de descàrrega del perfil i si va ser un certificat o el proveïdor d'identitat qui va aportar la credencial. Aquest registre converteix la propera ocurrència en una comprovació de dos minuts i mostra si les fallades van derivant cap a la passarel·la en lloc de quedar-se al portàtil.

Ordre de treball: reimporteu un perfil actual, reinicieu RasMan, permeteu l'execució en segon pla, repareu el paquet i restabliu només si el magatzem de certificats està confirmat intacte.