Com solucionar l'error d'AnyConnect en inicialitzar el subsistema de connexió

Feu clic a Connecta i el diàleg respon gairebé a l'instant: no s'ha pogut inicialitzar el subsistema de connexió. No ha arribat res a la passarel·la, així que no hi ha intercanvi de certificats, ni credencials, ni selecció de grup de túnel a l'altre extrem. Això vol dir que els registres del concentrador mostraran una sessió buida i que el servei d'assistència demanarà una captura d'un diàleg que mai no ha contingut res d'útil. Treballeu l'extrem, en un ordre fix, i atureu-vos al primer pas que canviï el resultat.

El moment és l'evidència més valuosa que teniu i registrar-lo no costa res. Anoteu si l'error va aparèixer abans o després de la sol·licitud de credencials i si va començar després d'una actualització, d'una actualització de Windows o d'un agent de seguretat nou. Aquestes tres respostes normalment redueixen a la meitat la llista de candidats abans que toqueu cap paràmetre.

Llegiu el moment abans de canviar res

Tres punts de fallada semblen iguals i no ho són. Si el diàleg apareix en el moment de prémer Connecta, el client no ha pogut engegar la seva pròpia infraestructura, i és aquí on apunta aquest missatge. Si apareix després d'escriure les credencials, s'ha arribat al grup de túnel i el problema és més endavant. Si el túnel s'aixeca i després cau, el subsistema s'ha inicialitzat bé i perseguiu una altra errada completament. Confondre els tres casos fa perdre una tarda en reinstal·lacions que no poden ajudar.

Aquí només hi pertany el primer cas. El missatge es genera abans que es prengui cap decisió de xarxa, així que una adreça de passarel·la incorrecta, un certificat caducat o una contrasenya incorrecta no el produiran.

Pas 1: confirmeu que el servei de l'agent s'executa

La finestra on feu clic és una interfície; la feina passa al servei Cisco AnyConnect Secure Mobility Agent, registrat com a vpnagent. Si aquest servei està aturat o desactivat, la interfície gràfica no té amb qui parlar i informa exactament d'aquesta fallada d'inicialització. Comproveu l'estat i el tipus d'inici des d'un indicador de PowerShell amb privilegis elevats:

Get-Service vpnagent | Select-Object Name, Status, StartType
sc.exe qc vpnagent
net start vpnagent

Un instal·lador que va respectar un tipus d'inici manual previ és la raó habitual que acabi desactivat, així que comproveu StartType en lloc de prémer només Inicia. Si el servei s'inicia i s'atura en qüestió de segons, llegiu el registre del sistema per buscar entrades del Service Control Manager abans de fer clic a Repara:

Get-WinEvent -FilterHashtable @{LogName="System"; ProviderName="Service Control Manager"} -MaxEvents 40

Un controlador bloquejat, un fitxer en quarantena o un controlador de filtre d'un producte de seguretat de tercers es nomenarà en aquests esdeveniments. Repara reinstal·la sobre el mateix fitxer bloquejat i no canvia res, i per això el registre d'esdeveniments va primer.

Pas 2: netegeu l'estat fora de línia que informa la pila HTTP

El client baixa el seu perfil i avalua la política a través dels components HTTP de Windows, així que un senyal fora de línia definit a la configuració d'Internet de l'usuari pot trencar la inicialització mentre tots els navegadors continuen carregant pàgines. Comproveu el valor directament:

Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name GlobalUserOffline

Un valor d'1 significa que la pila WinINet diu als sol·licitants que la màquina no té connexió; aquest estat normalment l'estableix l'element de menú Treballa fora de línia de l'Internet Explorer o un script d'automatització. Torneu-lo a 0, tanqueu la sessió i torneu a entrar, i reintenteu la connexió abans de canviar res més.

Si heu heretat aquesta màquina i no sabeu per què es va definir el senyal, anoteu-ho a l'incident. Alguna altra cosa de la màquina pot haver-lo definit deliberadament i tornarà a la propera entrada.

Pas 3: allibereu l'adaptador virtual de Hyper-V o ICS

Dos rols de Windows poden retenir les peces que el client necessita per crear el seu adaptador. Hyper-V és el primer: amb els serveis del commutador virtual en marxa, la creació de l'adaptador pot fallar de maneres que es manifesten com aquest error. Aturar els serveis és un diagnòstic, no una solució:

Get-Service vmms, vmcompute | Stop-Service
Get-NetAdapter | Where-Object InterfaceDescription -like "*Hyper-V*"

Si el client es connecta amb aquests serveis aturats, el conflicte queda confirmat i ara sabeu què negociar amb el propietari de l'amfitrió Hyper-V. Reinicieu-los després, tret que la màquina ja no necessiti virtualització.

La compartició de connexió d'Internet és el segon propietari. Si s'està compartint una connexió, el client pot fallar abans d'arribar a crear un túnel. Confirmeu-ho amb Get-Service SharedAccess i, si s'executa i està definit com a automàtic, reviseu els adaptadors per trobar una connexió compartida i desactiveu la compartició només en aquest adaptador.

També hi ha una explicació més barata d'eliminar primer. Una màquina sense cap accés a Internet funcional sovint mostra aquest missatge en lloc d'un error d'abastabilitat, així que confirmeu que Test-NetConnection a l'adreça de la passarel·la i a un amfitrió públic tenen èxit tots dos abans de culpar el client.

Verifiqueu i després desfeu el que no calia

La verificació no és l'escut verd de la safata. Confirmeu que l'adaptador existeix, té una adreça i passa trànsit: Get-NetAdapter -Name "Cisco AnyConnect*" hauria de mostrar-lo actiu, ipconfig /all hauria de mostrar l'adreça assignada i els servidors DNS, i una petició real a un nom intern s'hauria de resoldre pel túnel i no pel resolutor local.

Manteniu una llista curta de cada canvi mentre avanceu, amb el valor que heu trobat i el valor que heu definit. Si la connexió funciona després del tercer pas, restaureu els serveis de Hyper-V i torneu a provar abans de tancar l'incident, perquè una solució temporal que desactivi la virtualització en silenci serà desfeta pel proper administrador que ho noti.

Si cap dels tres passos mou l'error, deixeu de canviar l'extrem. Recolliu la versió del client, l'estat del servei, el moment de la part superior d'aquesta pàgina i el paquet de diagnòstic que el client pot generar, i lliureu-los amb l'ordre exacte que heu provat. Aquest paquet val més per al proper enginyer que una captura del diàleg, i és l'únic artefacte que mostra si el subsistema va fallar abans o després de tocar la xarxa.