Azure VPN Client: die VPN-Plattform hat die Verbindung nicht ausgelöst

Die Statuszeile meldet, dass die VPN-Plattform die Verbindung nicht ausgelöst hat, das Profil ohne Beanstandung importiert wird und das Gateway für alle anderen gesund ist. Diese Meldung beschreibt eine Übergabe innerhalb von Windows, keine abgelehnte Anmeldeinformation, daher verläuft die sinnvolle Reihenfolge von der billigsten Zustandsänderung zur zerstörerischsten. Ein erneuter Profilimport kostet eine Minute, die Reparatur des Pakets einen Neustart und das Zurücksetzen alle Profile auf dem Rechner. Arbeit in der falschen Reihenfolge vernichtet die Beweise, die Sie zur Unterscheidung dieser Fälle brauchen.

Erneut importieren, reparieren, zurücksetzen: drei verschiedene Kosten

Die drei Aktionen sind nicht austauschbar, und nur eine ist ohne Aufwand umkehrbar. Ein erneuter Import frischt das Profil auf und behält die App-Installation. Eine Reparatur behält die importierten Profile und schreibt die Paketdateien neu. Zurücksetzen entfernt die Profile samt App-Zustand, sodass Sie danach alles neu importieren.

Beginnen Sie bei geändertem Gateway, Adresspool oder Authentifizierungsverfahren mit einem frischen Download von azurevpnconfig.xml. Ein Profil, das ein gelöschtes Gateway nennt, erzeugt genau diese Statuszeile, und keine Client-Reparatur behebt eine Datei, die auf etwas zeigt, das nicht mehr existiert.

Prüfen Sie vor jedem zerstörerischen Schritt, ob die App im Hintergrund laufen darf: Einstellungen, Apps, Installierte Apps, Azure VPN Client, Erweiterte Optionen. Ein angehaltener Client kann die Plattformübergabe nicht abschließen.

RasMan ist der Dienst, an den der Client übergibt

Der Remote Access Connection Manager macht aus einer Client-Anforderung eine Windows-Verbindung. Starten Sie ihn an einer erhöhten Eingabeaufforderung mit net stop rasman und danach net start rasman neu, und verbinden Sie sich erneut, bevor Sie etwas anderes ändern.

Wenn das die Verbindung wiederherstellt, setzen Sie den Starttyp, damit die Korrektur einen Neustart überlebt: sc.exe config rasman start= delayed-auto. Ein Dienst, der jetzt läuft, beim Start aber deaktiviert ist, erzeugt morgen früh denselben Fehler.

Achten Sie auf einen Dienst, der startet und dann von selbst stoppt. Dieses Muster deutet auf eine Abhängigkeit oder eine Richtlinie hin, und ein Neustart hält nur Minuten, was schlimmer ist als ein sauberer Fehler, weil es wie ein zeitweiliges Netzwerkproblem aussieht. Prüfen Sie das Systemprotokoll auf den Dienstnamen im Zeitraum des Versuchs und bestätigen Sie, dass auch die Abhängigkeiten laufen.

Aktueller Benutzer oder lokaler Computer: zwei Zertifikatspeicher

Öffnet der Client mit leerer Zertifikatsliste, liegt es weder am Profil noch am Dienst. Der Client liest den persönlichen Speicher des aktuellen Benutzers: Öffnen Sie certmgr.msc, klappen Sie Certificates, Current User, Personal, Certificates auf und bestätigen Sie, dass das Zertifikat mit privatem Schlüssel vorhanden ist.

Der Speicher des lokalen Computers, geöffnet mit certlm.msc, ist ein anderer Speicher, und eine Installation dort genügt einem Client nicht, der im Benutzerspeicher nachsieht. Bei Zertifikatsauthentifizierung hält das Gateway nur den öffentlichen Schlüssel der Root, und jedes Gerät braucht sein eigenes, von dieser Root ausgestelltes Zertifikat. Ein von einem anderen Rechner kopiertes Zertifikat kommt meist ohne privaten Schlüssel an, was einen Eintrag erzeugt, den Sie auswählen können, der sich aber trotzdem nicht authentifiziert.

Eine leere Auswahl ist ein Speicherproblem, kein Tunnelproblem.

Zertifikatsauthentifizierung oder Azure AD: unterschiedliche Fehlerbilder

Für Azure AD braucht die Punkt-zu-Standort-Konfiguration die Tenant-URL, die Anwendungs-ID des Azure VPN Client als Zielgruppe und den STS-Aussteller, wobei ein Administrator der Azure VPN-Anwendung zustimmen muss. Speichern Sie diese Konfiguration, laden Sie das Paket erneut herunter und importieren Sie die neue Datei, statt eine ältere Kopie weiterzuverwenden.

Bestätigen Sie außerdem, dass der Client-Adresspool das virtuelle Netzwerk oder einen lokalen Bereich nicht überlappt und dass die Netzwerksicherheitsgruppe des Zielrechners den Pool zulässt. Diese beiden Fehler überleben jede Reparatur auf Clientseite.

Laptopseite oder Gatewayseite

Beurteilen Sie den Tunnel nicht anhand einer öffentlichen Adressprüfung. Eine Punkt-zu-Standort-Verbindung schickt nicht den gesamten Internetverkehr zu Azure, daher ist eine unveränderte öffentliche Adresse zu erwarten, während der Tunnel korrekt arbeitet. Testen Sie stattdessen eine private Adresse im virtuellen Netzwerk und lesen Sie die effektiven Routen auf dem Rechner.

Notieren Sie, welcher Schritt die Verbindung wiederhergestellt hat, die Clientversion, das Download-Datum des Profils und ob ein Zertifikat oder der Identitätsanbieter die Anmeldeinformation geliefert hat. Diese Aufzeichnung macht den nächsten Fall zu einer Prüfung von zwei Minuten und zeigt, ob sich die Fehler zum Gateway verschieben, statt auf dem Laptop zu bleiben.

Reihenfolge: aktuelles Profil erneut importieren, RasMan neu starten, Hintergrundausführung erlauben, das Paket reparieren und erst zurücksetzen, wenn der Zertifikatspeicher nachweislich intakt ist.