Azure VPN Client: la plataforma VPN no activó la conexión

La línea de estado dice que la plataforma VPN no activó la conexión, el perfil se importa sin queja y la puerta de enlace está sana para todos los demás. Ese mensaje describe una entrega dentro de Windows, no una credencial rechazada, así que el orden útil va del cambio de estado más barato al más destructivo. Reimportar un perfil cuesta un minuto, reparar el paquete cuesta un reinicio y restablecerlo cuesta todos los perfiles de la máquina. Trabajar en el orden equivocado destruye las pruebas que necesita para distinguir esos casos.

Reimportar, reparar, restablecer: tres costes diferentes

Las tres acciones no son intercambiables y solo una es reversible sin trabajo. Reimportar actualiza el perfil y conserva la instalación de la aplicación. Reparar conserva los perfiles importados y reescribe los archivos del paquete. Restablecer elimina los perfiles junto con el estado de la aplicación, así que después vuelve a importarlo todo.

Empiece con una descarga nueva de azurevpnconfig.xml siempre que hayan cambiado la puerta de enlace, el grupo de direcciones o el método de autenticación. Un perfil que nombra una puerta de enlace eliminada produce exactamente esta línea de estado, y ninguna reparación del cliente arregla un archivo que apunta a algo que ya no existe.

Antes de cualquier paso destructivo, compruebe que la aplicación puede ejecutarse en segundo plano: Configuración, Aplicaciones, Aplicaciones instaladas, Azure VPN Client, Opciones avanzadas. Un cliente suspendido no puede completar la entrega de la plataforma.

RasMan es el servicio al que el cliente entrega

El Remote Access Connection Manager convierte una solicitud del cliente en una conexión de Windows. Reinícielo desde un símbolo del sistema elevado con net stop rasman y luego net start rasman, y vuelva a conectarse antes de cambiar nada más.

Si eso restaura la conexión, establezca el tipo de inicio para que la corrección sobreviva a un reinicio: sc.exe config rasman start= delayed-auto. Un servicio que ahora se ejecuta pero está deshabilitado al arrancar reproduce el mismo fallo mañana por la mañana.

Vigile un servicio que se inicia y luego se detiene solo. Ese patrón apunta a una dependencia o a una directiva, y reiniciarlo funcionará durante minutos, lo que es peor que un fallo limpio porque parece un problema de red intermitente. Revise el registro System por el nombre del servicio alrededor del momento del intento y confirme que las dependencias también se ejecutan.

Usuario actual o equipo local: dos almacenes de certificados

Si el cliente se abre con una lista de certificados vacía, la culpa no es del perfil ni del servicio. El cliente lee el almacén personal del usuario actual: abra certmgr.msc, despliegue Certificates, Current User, Personal, Certificates y confirme que el certificado está ahí con una clave privada.

El almacén del equipo local abierto con certlm.msc es otro almacén, e instalar allí no satisface a un cliente que busca en el almacén del usuario. Con autenticación por certificado, la puerta de enlace solo tiene la clave pública de la raíz, y cada dispositivo necesita su propio certificado emitido desde esa raíz. Un certificado copiado de otra máquina suele llegar sin su clave privada, lo que produce una entrada que puede seleccionar pero que aún no puede autenticar.

Un selector vacío es un problema del almacén, no del túnel.

Autenticación por certificado o Azure AD: formas de fallo distintas

Para la autenticación Azure AD, la configuración punto a sitio necesita la URL del inquilino, el identificador de la aplicación Azure VPN Client como audiencia y el emisor STS, con un administrador que conceda consentimiento a la aplicación Azure VPN. Guarde esa configuración, vuelva a descargar el paquete e importe el archivo nuevo en lugar de reutilizar una copia antigua.

Confirme también que el grupo de direcciones del cliente no se solapa con la red virtual ni con un rango local, y que el grupo de seguridad de red de la máquina de destino permite el grupo. Esos dos errores sobreviven a cualquier reparación del lado del cliente.

Lado del portátil o lado de la puerta de enlace

No juzgue el túnel por una comprobación de dirección pública. Una conexión punto a sitio no envía todo el tráfico de internet a Azure, así que una dirección pública sin cambios es lo esperado mientras el túnel funciona correctamente. Pruebe en cambio una dirección privada dentro de la red virtual y lea las rutas efectivas en la máquina.

Anote qué paso restauró la conexión, la versión del cliente, la fecha de descarga del perfil y si fue un certificado o el proveedor de identidad quien aportó la credencial. Ese registro convierte la próxima ocurrencia en una comprobación de dos minutos y muestra si los fallos van derivando hacia la puerta de enlace en lugar de quedarse en el portátil.

Orden de trabajo: reimporte un perfil actual, reinicie RasMan, permita la ejecución en segundo plano, repare el paquete y restablezca solo si el almacén de certificados está confirmado intacto.