Check Point VPN reparieren: Verbindung zum VPN-Dienst verloren

Verbinden tut nichts und der Client meldet, dass die Verbindung zum VPN-Dienst verloren ist. Dieser Satz betrifft den Rechner vor Ihnen: den Dienst hinter dem Tunnel, den virtuellen Adapter, auf dem er sitzt, oder die Installation, die beides verbindet. Nichts daran deutet auf das Gateway hin, daher ändert das erneute Eingeben der Standortadresse oder des Kontos nichts. Lesen Sie ihn als lokalen Fehler, und der Suchraum schrumpft.

Lesen Sie den Fehler als lokalen Fehler

Ablehnungen auf der Serverseite klingen anders: Authentifizierung fehlgeschlagen, Gateway nicht erreichbar, Zertifikat ungültig. Die Verbindung zum Dienst zu verlieren bedeutet, dass der Client seinen eigenen Daemon nicht erreicht, was Gateway, Zugangsdaten und Firewallregeln aus der ersten Stunde ausschließt. Kopieren Sie den genauen Wortlaut in Ihre Notizen, bevor Sie etwas anfassen, denn genau diese Zeichenfolge trennt einen toten Dienst von einer Ablehnung durch eine Richtlinie.

Danach bleiben nur drei Verdächtige: Dienste, Treiber und das Installationsprogramm.

Starten Sie jeden Check Point-Dienst, nicht nur einen

Öffnen Sie services.msc und lesen Sie jeden Check Point-Eintrag, nicht nur den, dessen Name in der Fehlermeldung auftaucht. Eine Installation von Endpoint Security VPN registriert mehrere, und ein einziger gestoppter oder deaktivierter Eintrag genügt, damit der Client keine Verbindung aufbaut. Starten Sie alle, und stellen Sie dann die, von denen der Client abhängt, von Manuell auf Automatisch, denn ein manueller Dienst, der bei Bedarf fehlschlägt, erzeugt den Fehler exakt.

Die Abhängigkeitskette zählt ebenso viel wie die Dienste selbst.

DHCP Client weist dem virtuellen Adapter seine Adresse zu und steht selbst auf drei Komponenten: dem Network Store Interface Service, dem NetIO legacy TDI-Treiber und dem Ancillary Function Driver for Winsock. Stoppen Sie DHCP Client, und der VPN-Dienst kann sauber starten, während der Adapter weiterhin keine Adresse hat. Funktionsupdates sind der wiederkehrende Auslöser, weil sie einen Dienst eines Drittanbieters still auf Manuell oder Deaktiviert zurücksetzen können. Fragen Sie nach einem solchen Update den Starttyp ab, statt zu entscheiden, die Installation sei beschädigt.

Get-Service -Name "Check*" | Format-Table -AutoSize Name, Status, StartType
Get-Service -Name Dhcp | Format-Table -AutoSize Name, Status, StartType

Prüfen Sie die Adapterbindung, bevor Sie neu installieren

Wenn die Dienste laufen und die Meldung bleibt, sehen Sie sich als Nächstes den Adapter an. Ein Adapter kann vorhanden und trotzdem defekt sein, meist weil der Treiber, an den er bindet, ein Upgrade nicht überlebt hat. Ihn zu deaktivieren und wieder zu aktivieren ist der billige Test, und der Geräte-Manager braucht eine geänderte Einstellung, bevor das Gerät überhaupt sichtbar wird.

set devmgr_show_nonpresent_devices=1
start devmgmt.msc

Wählen Sie unter Ansicht die Option Ausgeblendete Geräte anzeigen, öffnen Sie Netzwerkadapter und suchen Sie den virtuellen Check Point-Adapter. Schalten Sie ihn aus und wieder ein, und versuchen Sie dann eine Verbindung. Ein Warnsymbol oder gar kein Eintrag bedeutet, dass der Treiber weg ist und nicht pausiert.

Reparieren Sie die Installation, statt sie zu entfernen

Klicken Sie in Programme und Features mit der rechten Maustaste auf Check Point Endpoint Security VPN und wählen Sie Reparieren. Dieser eine Durchlauf registriert Dienst und Adapter neu und lässt die Standortkonfiguration, wo sie ist. Eine Neuinstallation nach einer Deinstallation verwirft diese Konfiguration und kostet normalerweise einen Neustart umsonst.

Wenn die Reparatur mittendrin abbricht, nennt das Installationsprotokoll die Komponente, die sich geweigert hat. Prüfen Sie nach dem Abschluss, ob Dienst und Adapter zurück sind, bevor Sie sich erneut verbinden; ein Adapter, der noch ein Warnsymbol trägt, bedeutet, dass das Treiberpaket nie neu installiert wurde, und die Reparatur allein das nicht beheben kann.

Trennen Sie ein Netzwerkpfadproblem von einem Clientproblem

Nicht jeder Fall ist lokal. Ein Firmen-LAN, das den Datenverkehr durch einen authentifizierenden Proxy schickt, kann den Client daran hindern, das Gateway zu erreichen, während dasselbe Notebook über einen Handy-Hotspot problemlos verbindet. Funktioniert der Hotspot, ist der Client gesund, und der Proxypfad trägt das Problem.

Eine BIOS-Einstellung, die Netzwerkadapter automatisch umschaltet, kann ebenfalls die Verbindung unter dem Client austauschen. Deaktivieren Sie sie nur dort, wo der Rechner die Option tatsächlich anbietet, denn die meisten Notebooks tun das nicht.

Verbinden Sie sich und bestätigen Sie, dass der Tunneladapter eine Adresse erhalten hat und die Dienste oben geblieben sind, bevor Sie den Fall schließen.

ipconfig /all
Get-Service -Name "Check*" | Format-Table -AutoSize Name, Status

Ein Tunnel, der eine Minute übersteht und dann stirbt, deutet meist auf den Adapter oder ein Sicherheitsprodukt hin, das ihn prüft, nicht auf das Konto. Planen Sie einen Neustart nach einer Treiber- oder MSI-Reparatur ein, denn dieser baut die Bindung neu auf, und notieren Sie die gesunden Starttypen, solange alles läuft, damit das nächste Update etwas zum Vergleichen hat.