FortiClient hängt bei 98 %: IPv6 auf dem Adapter deaktivieren

Der Balken erreicht 98 %, der Client bleibt dort stehen, und das Passwort erneut einzugeben ändert nichts. Das ist der nützliche Hinweis: Der Client hat das Gateway-Zertifikat bereits akzeptiert, Anmeldedaten gesendet und eine Tunnelkonfiguration erhalten. Was bleibt, ist den virtuellen Adapter hochzubringen und zu bestätigen, dass der Tunnel Datenverkehr trägt. Wenn dieser letzte Schritt nie abgeschlossen wird, ist der Fehler lokal, und kein nochmaliges Eingeben von Anmeldedaten erreicht ihn.

Vier Schritte, und der erste ist das Lesen des Protokolls statt des Balkens.

Was der Zähler bei 98 % tatsächlich meldet

Der Prozentsatz ist der eigene Stufenzähler des Clients, kein Durchsatzmaß. Ein Hänger bei derselben Zahl bei jedem Versuch bedeutet, dass der Client eine bestimmte Stufe erreicht und wartet; deshalb sehen eine langsame Verbindung und ein hängender Client im Protokoll unterschiedlich aus. Ein Problem mit den Anmeldedaten würde einen Anmeldefehler ausgeben statt einer stillen Pause.

Fortinet hat dieses Symptom auf eine clientseitige Ursache zurückgeführt: aktiviertes IPv6 auf dem Adapter, den der Client verwendet. Damit ist die Adaptereinstellung das erste, was zu testen ist, keine pauschale Erklärung für jeden SSL-VPN-Hänger.

Schritt 1: Protokoll vor dem Balken lesen

Bevor Sie etwas ändern, sichern Sie die Zeilen unmittelbar vor dem Hänger. Sie suchen danach, ob der Tunneladapter erstellt, ob eine Adresse zugewiesen wurde und ob der Client das Warten auf eine Adressfamilie aufgegeben hat. Ein Hänger bei einem anderen Prozentsatz ist eine andere Stufe mit eigener Diagnose, und eine Zertifikatswarnung oder eine falsche Gateway-Adresse erzeugt eine eigene Meldung statt eines stillen Wartens. Notieren Sie den Zeitstempel, denn der nächste Versuch hängt einen weiteren Block an dieselbe Datei.

Wenn das Protokoll eine abgeschlossene Anmeldung und danach nichts zeigt, befinden Sie sich in der lokalen Einrichtung, und der Adapter ist ein legitimer Verdächtiger.

Schritt 2: die IPv6-Änderung auf einen Adapter begrenzen

Die Änderung gehört an den Adapter, nicht an den Rechner. In den Windows-Adaptereigenschaften bedeutet das, Internet Protocol Version 6 (TCP/IPv6) auf der betreffenden Schnittstelle zu deaktivieren, und in einer Shell ist es Disable-NetAdapterBinding -Name "Ethernet 2" -ComponentID ms_tcpip6. Bestätigen Sie den Zustand mit Get-NetAdapterBinding -ComponentID ms_tcpip6 vor dem erneuten Verbinden. Verbinden Sie sich dann erneut und beobachten Sie, ob der Balken 98 % überschreitet, statt dort anzuhalten.

Erst eingrenzen, dann testen. IPv6 global zu deaktivieren ist eine größere Änderung, als die Frage verlangt, und betrifft Dienste, die Sie nicht anfassen wollten.

Schritt 3: prüfen, was der Hänger verdeckt hat

Ein Tunnel, der sich verbindet, ist kein Tunnel, der funktioniert. Prüfen Sie die vom Client zugewiesene Adresse, die vom Profil installierten Routen und die Namensauflösung für einen internen Host: Resolve-DnsName files.corp.example. Ein Client, der sich verbindet und nichts auflöst, hat ein DNS-Problem, und das wird leicht als Rückkehr desselben Fehlers missverstanden.

Testen Sie eine interne Ressource per Name und ein öffentliches Ziel, damit ein defekter Split-Tunnel nicht für einen reparierten Client gehalten wird.

Schritt 4: die Korrektur wiederholbar machen

Wenn die Einstellung eine Flotte erreichen muss, gehört sie ins Deployment-Paket oder in die Adapterkonfiguration statt in einen manuellen Schritt, der auf jedem Laptop wiederholt wird. Halten Sie im Ticket fest, dass der Hänger bei 98 % mit IPv6 an der Netzwerkschnittstelle zusammenhing, und notieren Sie, was sonst auf dem Host von IPv6 abhing, bevor jemand es wieder aktiviert, um etwas Unabhängiges zu reparieren.

Eine Korrektur, die nur im Gedächtnis eines Ingenieurs existiert, ist eine Korrektur, die im nächsten Quartal zurückkommt.

Wenn der Balken mit deaktiviertem IPv6 immer noch bei 98 % stoppt, erklärt der Herstellerhinweis es nicht mehr, und das Protokoll ist Ihr nächster Beweis. Hören Sie auf, das Symptom zu behandeln, und gehen Sie zurück zum Stufenzähler.