AnyConnect meldet, der VPN-Dienst sei nicht verfügbar: Lösung unter Windows

Der Dialog erscheint in dem Moment, in dem Sie auf Connect klicken, noch bevor Zugangsdaten abgefragt werden, und meldet, der VPN-Dienst sei nicht verfügbar. Es hat die Maschine noch nichts verlassen. Das Fenster von AnyConnect spricht mit einem lokalen Windows-Dienst, und wenn dieses Gespräch scheitert, gibt der Client auf, bevor er überhaupt ein Gateway nennt. Diese Reihenfolge ist der nützlichste Hinweis in der ganzen Meldung: Sie debuggen einen Dienst und einen Treiber, nicht ein Zertifikat oder eine Firewall-Regel auf der Gegenseite. Hier ist die Reihenfolge, in der ich vorgehe, die billigste Prüfung zuerst.

Der Dialog erscheint, bevor das Gateway kontaktiert wird

Das Fenster ist ein dünnes Frontend. Es bittet den Agent-Dienst, den Tunnel aufzubauen, und dieser Dienst besitzt den Adapter, die Routing-Änderungen und den Profilspeicher. Fehlt der Dienst, ist er gestoppt oder blockiert, hat das Frontend nichts zum Sprechen und meldet genau das.

Die praktische Folge ist einfach: kein Servername, keine Abfrage von Zugangsdaten, kein Zertifikatsfehler. Wenn Sie eines davon sehen, hören Sie auf, das hier zu lesen, und schauen Sie stattdessen auf den Tunnel.

Prüfen Sie zuerst den Agent-Dienst

Öffnen Sie services.msc und suchen Sie Cisco AnyConnect Secure Mobility Agent. Steht der Starttyp auf Disabled, stellen Sie ihn auf Automatisch und starten Sie ihn. Ein Dienst, der durch ein Upgrade deaktiviert oder von einem Absturz zurückgelassen wurde, startet oft einmal sauber und bleibt oben. Stirbt er innerhalb von Sekunden wieder, notieren Sie den Fehlercode und lesen Sie weiter.

Zwei Hilfsdienste lohnen einen Blick auf hartnäckigen Maschinen. Das Neustarten der Base Filtering Engine hat diese Meldung beseitigt, wenn der Filtertreiber verklemmt war. Wo Internet Connection Sharing aktiviert war, hat das Abschalten von ICS dasselbe bewirkt, weil beide um dieselbe Netzwerk-Infrastruktur konkurrieren.

Auf einem verwalteten Notebook kann der Dienst absichtlich per Richtlinie deaktiviert sein, klären Sie das also mit dem Eigentümer des Geräts, bevor Sie ihn wieder aktivieren.

Prüfen Sie dann den virtuellen Adapter

AnyConnect braucht seinen eigenen virtuellen Adapter, und ein deaktivierter erzeugt in manchen Builds denselben Dialog. Öffnen Sie Netzwerkverbindungen, suchen Sie den Eintrag Cisco AnyConnect Secure Mobility Client und aktivieren Sie ihn, wenn er ausgegraut ist. Dasselbe Fenster behandelt den festgefahrenen Fall: Eine Schnittstelle im Verbindungszustand lässt sich meist nicht über Einstellungen entfernen, hier aber deaktivieren und löschen.

Fehlt der Adapter ganz, wurde der Treiber nicht installiert. Das deutet auf den nächsten Abschnitt hin und nicht auf etwas, das Sie umschalten können.

Wenn ein Neustart nicht hält

Ein zurückgebliebenes Installationsverzeichnis kann den kaputten Zustand bei jedem Start wiederherstellen. Deinstallieren Sie den Client, löschen Sie den Ordner Cisco AnyConnect unter ProgramData, starten Sie neu und installieren Sie dann dieselbe Version erneut. Genau das Entfernen dieses Ordners räumt Profile und Fragmente der Maschinenrichtlinie auf, die der Deinstaller hinterlässt. Eine neuere Hauptversion kann die Meldung ebenfalls beseitigen, aber nur, wenn Ihr Gateway diese Client-Version akzeptiert.

macOS-Nutzer begegnen derselben Formulierung über eine andere Komponente. Der Agent ist ein launchd-Job, laden Sie ihn also und bestätigen Sie, dass die App im Hintergrund laufen darf. In aktuellen Versionen sitzt dieser Schalter unter Login Items und Extensions, und eine dort abgeschaltete App startet und scheitert dann mit genau dieser Meldung.

Wenn ein zweiter VPN-Client die Ursache ist

Zwei Clients können um Filtertreiber und Adapterpriorität streiten. Ein Forti-Client neben einem älteren Cisco-Client hat Leute verbunden, aber unfähig zurückgelassen, irgendetwas zu erreichen, und das Entfernen des ungenutzten Clients hat den Dienst wiederhergestellt. Die gangbare Alternative sind explizite Routen pro VPN-Subnetz, damit die Adressen jedes Clients auf dem richtigen Adapter landen, statt von der Metrik-Reihenfolge abzuhängen.

Müssen beide Clients bleiben, entscheiden Sie die Routen bewusst und schreiben Sie sie auf. Raten bei Metriken bricht beim nächsten Update.

Eine Reparaturreihenfolge, die keine zwei Neuinstallationen braucht

Bevor Sie neu installieren, sichern Sie das Agent-Log. Die Meldung deckt mehrere verschiedene Fehler ab, und das Log ist das Einzige, was sie im Nachhinein trennt. Führen Sie dann diese Reihenfolge aus und stoppen Sie beim ersten Schritt, der das Verhalten ändert:

• Agent-Dienst vorhanden, Starttyp Automatisch, läuft, bevor die GUI startet.
• Virtueller Adapter in Netzwerkverbindungen aktiviert, keine Schnittstelle im Verbindungszustand festgefahren.
• Internet Connection Sharing aus, Base Filtering Engine gesund.
• ProgramData-Ordner vor einer Neuinstallation entfernt, dieselbe Version neu installiert.
• Kein zweiter VPN-Client, der dieselben Filtertreiber hält.

Beendet sich der Client, bevor er einen Servernamen oder eine Abfrage von Zugangsdaten zeigt, wurde nichts im Netzwerk kontaktiert. Eine vierte Neuinstallation findet keine Ursache, die Ihnen ein Dienstzustand in zwei Minuten gezeigt hätte.