Ret AnyConnect-fejlen „kunne ikke initialisere forbindelsessubsystemet“

Du klikker på Forbind, og dialogen svarer næsten øjeblikkeligt: kunne ikke initialisere forbindelsessubsystemet. Intet nåede gatewayen, så der er ingen certifikatudveksling, ingen legitimationsoplysninger og ingen valg af tunnelgruppe i den anden ende. Det betyder, at concentratorens logge vil vise en tom session, og helpdesken vil bede om et skærmbillede af en dialog, der aldrig indeholdt noget brugbart. Arbejd på endepunktet i stedet, i en fast rækkefølge, og stop ved det første trin, der ændrer resultatet.

Tidspunktet er det mest værdifulde bevis, du har, og det koster intet at notere. Skriv ned, om fejlen kom før eller efter anmodningen om legitimationsoplysninger, og om den begyndte efter en opgradering, en Windows-opdatering eller en ny sikkerhedsagent. De tre svar halverer normalt kandidatlisten, før du rører ved en indstilling.

Læs tidspunktet, før du ændrer noget

Tre fejlpunkter ser ens ud og er det ikke. Hvis dialogen vises i det øjeblik, du trykker Forbind, kunne klienten ikke starte sit eget fundament, og det er det, denne meddelelse peger på. Hvis den vises, efter du har skrevet legitimationsoplysninger, er tunnelgruppen nået, og problemet ligger længere fremme. Hvis tunnelen kommer op og derefter falder, blev subsystemet initialiseret fint, og du jager en helt anden fejl. At forveksle de tre spilder en eftermiddag på geninstallationer, der ikke kan hjælpe.

Kun det første tilfælde hører hertil. Meddelelsen genereres, før nogen netværksbeslutning træffes, så en forkert gatewayadresse, et udløbet certifikat eller en dårlig adgangskode vil ikke fremkalde den.

Trin 1: bekræft, at agenttjenesten kører

Vinduet, du klikker på, er en frontend; arbejdet sker i tjenesten Cisco AnyConnect Secure Mobility Agent, registreret som vpnagent. Hvis den tjeneste er stoppet eller deaktiveret, har GUI'en intet at tale med og rapporterer præcis denne initialiseringsfejl. Kontrollér tilstand og starttype fra en forhøjet PowerShell-prompt:

Get-Service vpnagent | Select-Object Name, Status, StartType
sc.exe qc vpnagent
net start vpnagent

Et installationsprogram, der respekterede en tidligere manuel starttype, er den sædvanlige grund til, at det ender deaktiveret, så kontrollér StartType i stedet for bare at trykke Start. Hvis tjenesten starter og stopper inden for sekunder, skal du læse Systemloggen for Service Control Manager-poster, før du klikker på Reparer:

Get-WinEvent -FilterHashtable @{LogName="System"; ProviderName="Service Control Manager"} -MaxEvents 40

En blokeret driver, en fil i karantæne eller en filterdriver fra et tredjeparts sikkerhedsprodukt vil navngive sig selv i de hændelser. Reparer geninstallerer oven på den samme blokerede fil og ændrer intet, og derfor kommer hændelsesloggen først.

Trin 2: ryd offline-tilstanden, som HTTP-stakken rapporterer

Klienten downloader sin profil og vurderer politik via Windows HTTP-komponenter, så et offline-flag i brugerens internetindstillinger kan bryde initialiseringen, mens hver browser stadig indlæser sider. Kontrollér værdien direkte:

Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name GlobalUserOffline

En værdi på 1 betyder, at WinINet-stakken fortæller kaldere, at maskinen ikke har nogen forbindelse; denne tilstand sættes normalt af menupunktet Arbejd offline i Internet Explorer eller af et automatiseringsscript. Sæt den tilbage til 0, log ud og ind igen, og prøv forbindelsen igen, før du ændrer noget andet.

Hvis du har overtaget denne maskine og ikke kan sige, hvorfor flaget blev sat, så noter det i billetten. Noget andet på maskinen kan have sat det med vilje, og det vender tilbage ved næste logon.

Trin 3: frigør den virtuelle adapter fra Hyper-V eller ICS

To Windows-roller kan holde de dele, klienten skal bruge for at oprette sin adapter. Hyper-V er den første: når de virtuelle switch-tjenester kører, kan oprettelsen af adapteren fejle på måder, der viser sig som denne fejl. At stoppe tjenesterne er en diagnose, ikke en rettelse:

Get-Service vmms, vmcompute | Stop-Service
Get-NetAdapter | Where-Object InterfaceDescription -like "*Hyper-V*"

Hvis klienten forbinder med disse tjenester stoppet, er konflikten bekræftet, og nu ved du, hvad du skal forhandle om med ejeren af Hyper-V-værten. Genstart dem bagefter, medmindre maskinen ikke længere har brug for virtualisering.

Deling af internetforbindelse er den anden ejer. Hvis en forbindelse deles, kan klienten fejle, før den overhovedet opretter en tunnel. Bekræft med Get-Service SharedAccess, og hvis den kører og er sat til automatisk, så se adapterne igennem for en delt forbindelse, og slå kun deling fra på den adapter.

Der er også en billigere forklaring, der skal udelukkes først. En maskine uden nogen fungerende internetadgang viser ofte denne meddelelse i stedet for en tilgængelighedsfejl, så bekræft, at Test-NetConnection til gatewayadressen og til en offentlig vært begge lykkes, før du giver klienten skylden.

Verificér, og rul derefter det tilbage, du ikke havde brug for

Verifikation er ikke det grønne skjold i proceslinjen. Bekræft, at adapteren findes, har en adresse og sender trafik: Get-NetAdapter -Name "Cisco AnyConnect*" bør vise den oppe, ipconfig /all bør vise den tildelte adresse og DNS-servere, og en rigtig anmodning til et internt navn bør slås op gennem tunnelen i stedet for den lokale resolver.

Hold en kort liste over hver ændring, du laver, med den værdi, du fandt, og den værdi, du satte. Hvis forbindelsen virker efter trin tre, skal du gendanne Hyper-V-tjenesterne og teste igen, før du lukker billetten, for en omvej, der stille deaktiverer virtualisering, vil blive rullet tilbage af den næste administrator, der bemærker det.

Hvis ingen af de tre trin flytter fejlen, så stop med at ændre endepunktet. Indsaml klientversionen, tjenestens tilstand, tidspunktet fra toppen af denne side og den diagnosticeringspakke, klienten kan producere, og overdrag dem sammen med den præcise rækkefølge, du prøvede. Den pakke er mere værd for den næste ingeniør end et skærmbillede af dialogen, og det er det eneste artefakt, der viser, om subsystemet fejlede, før eller efter det rørte netværket.