AnyConnect dice que el servicio VPN no está disponible: solución en Windows

El diálogo aparece en el momento en que hace clic en Connect, antes de cualquier solicitud de credenciales, y dice que el servicio VPN no está disponible. Todavía no ha salido nada de la máquina. La ventana de AnyConnect habla con un servicio local de Windows, y cuando esa conversación falla, el cliente se rinde antes de nombrar siquiera una puerta de enlace. Ese orden es la pista más útil de todo el mensaje: está depurando un servicio y un controlador, no un certificado ni una regla de firewall al otro lado. Este es el orden que sigo, la comprobación más barata primero.

El diálogo aparece antes de que se contacte con la puerta de enlace

La ventana es un frontend fino. Pide al servicio del agente que construya el túnel, y ese servicio posee el adaptador, los cambios de enrutamiento y el almacén de perfiles. Si el servicio falta, está detenido o bloqueado, el frontend no tiene con qué hablar e informa exactamente de esto.

La consecuencia práctica es simple: ningún nombre de servidor, ninguna solicitud de credenciales, ningún error de certificado. Si ve alguno de esos, deje de leer esto y mire el túnel.

Revise el servicio del agente antes que nada

Abra services.msc y busque Cisco AnyConnect Secure Mobility Agent. Si el tipo de inicio es Disabled, póngalo en Automatic e inicie el servicio. Un servicio desactivado por una actualización o dejado por un fallo suele arrancar limpio una vez y mantenerse. Si vuelve a morir en segundos, anote el código de error y siga leyendo.

Dos servicios auxiliares merecen una mirada en máquinas tercas. Reiniciar Base Filtering Engine ha eliminado este mensaje cuando el controlador de filtro estaba atascado. Donde Internet Connection Sharing estaba habilitado, desactivar ICS ha hecho lo mismo, porque los dos compiten por la misma infraestructura de red.

En un portátil gestionado, el servicio puede estar desactivado por política a propósito, así que confirme con quien sea el propietario del dispositivo antes de volver a habilitarlo.

Luego revise el adaptador virtual

AnyConnect necesita su propio adaptador virtual, y uno desactivado produce el mismo diálogo en algunas compilaciones. Abra Conexiones de red, busque la entrada Cisco AnyConnect Secure Mobility Client y actívela si está en gris. El mismo panel maneja el caso atascado: una interfaz en estado de conexión normalmente no se puede quitar desde Configuración, pero aquí se puede desactivar y eliminar.

Si el adaptador falta por completo, el controlador no se instaló. Eso apunta a la sección siguiente y no a algo que pueda alternar.

Cuando un reinicio no aguanta

Un directorio de instalación sobrante puede restaurar el estado roto en cada arranque. Desinstale el cliente, elimine la carpeta Cisco AnyConnect dentro de ProgramData, reinicie y luego reinstale la misma versión. Eliminar esa carpeta es lo que limpia perfiles y fragmentos de política de máquina que deja el desinstalador. Una versión principal más nueva también puede eliminar el mensaje, pero solo si su puerta de enlace acepta esa versión de cliente.

Los usuarios de macOS encuentran el mismo texto a través de un componente distinto. El agente es una tarea de launchd, así que cárguela y confirme que la aplicación tiene permiso para ejecutarse en segundo plano. En las versiones actuales ese interruptor está en Login Items y Extensions, y una aplicación desactivada allí arranca y luego falla con este mensaje exacto.

Cuando la causa es un segundo cliente VPN

Dos clientes pueden pelearse por los controladores de filtro y la prioridad del adaptador. Un cliente Forti instalado junto a un cliente Cisco más antiguo ha dejado a personas conectadas pero incapaces de llegar a nada, y quitar el cliente sin usar restauró el servicio. La alternativa viable son rutas explícitas por subred VPN, para que las direcciones de cada cliente aterricen en el adaptador correcto en lugar de depender del orden de métrica.

Si ambos clientes deben quedarse, decida las rutas a conciencia y anótelas. Adivinar métricas se rompe en la siguiente actualización.

Un orden de reparación que no necesita dos reinstalaciones

Antes de reinstalar, capture el registro del agente. El mensaje cubre varias fallas distintas, y el registro es lo único que las separa después. Luego ejecute este orden y deténgase en el primer paso que cambie el comportamiento:

• Servicio del agente presente, tipo de inicio Automatic, funcionando antes de que arranque la GUI.
• Adaptador virtual habilitado en Conexiones de red, ninguna interfaz atascada en estado de conexión.
• Internet Connection Sharing desactivado, Base Filtering Engine sano.
• Carpeta ProgramData eliminada antes de una reinstalación, misma versión reinstalada.
• Ningún segundo cliente VPN que retenga los mismos controladores de filtro.

Si el cliente sale antes de mostrar un nombre de servidor o una solicitud de credenciales, no se contactó con nada de la red. Una cuarta reinstalación no encontrará una causa que un estado de servicio le habría mostrado en dos minutos.