Cómo solucionar el error de AnyConnect al inicializar el subsistema de conexión

Hace clic en Conectar y el diálogo responde casi al instante: no se pudo inicializar el subsistema de conexión. No llegó nada a la pasarela, así que no hay intercambio de certificados, ni credenciales, ni selección de grupo de túnel en el otro extremo. Eso significa que los registros del concentrador mostrarán una sesión vacía y que el servicio de asistencia pedirá una captura de un diálogo que nunca contuvo nada útil. Trabaje mejor sobre el extremo, en un orden fijo, y deténgase en el primer paso que cambie el resultado.

El momento es la evidencia más valiosa que tiene y registrarlo no cuesta nada. Anote si el error apareció antes o después de la petición de credenciales y si empezó tras una actualización, una actualización de Windows o un agente de seguridad nuevo. Esas tres respuestas suelen reducir a la mitad la lista de candidatos antes de que toque ningún ajuste.

Lea el momento antes de cambiar nada

Tres puntos de fallo parecen iguales y no lo son. Si el diálogo aparece en el momento de pulsar Conectar, el cliente no pudo arrancar su propia infraestructura, y a eso apunta este mensaje. Si aparece después de escribir las credenciales, se alcanzó el grupo de túnel y el problema está más adelante. Si el túnel sube y luego cae, el subsistema se inicializó bien y usted persigue un error completamente distinto. Confundir los tres hace perder una tarde en reinstalaciones que no pueden ayudar.

Aquí solo pertenece el primer caso. El mensaje se genera antes de que se tome ninguna decisión de red, así que una dirección de pasarela incorrecta, un certificado caducado o una contraseña mala no lo producirán.

Paso 1: confirme que el servicio del agente se ejecuta

La ventana en la que hace clic es una interfaz; el trabajo ocurre en el servicio Cisco AnyConnect Secure Mobility Agent, registrado como vpnagent. Si ese servicio está detenido o deshabilitado, la interfaz gráfica no tiene con quién hablar e informa exactamente de este fallo de inicialización. Compruebe el estado y el tipo de inicio desde un símbolo del sistema de PowerShell con privilegios elevados:

Get-Service vpnagent | Select-Object Name, Status, StartType
sc.exe qc vpnagent
net start vpnagent

Un instalador que respetó un tipo de inicio manual anterior es la razón habitual de que acabe deshabilitado, así que compruebe StartType en lugar de limitarse a pulsar Iniciar. Si el servicio arranca y se detiene en cuestión de segundos, lea el registro del sistema en busca de entradas del Service Control Manager antes de hacer clic en Reparar:

Get-WinEvent -FilterHashtable @{LogName="System"; ProviderName="Service Control Manager"} -MaxEvents 40

Un controlador bloqueado, un archivo en cuarentena o un controlador de filtro de un producto de seguridad de terceros se nombrará en esos eventos. Reparar reinstala sobre el mismo archivo bloqueado y no cambia nada, por eso el registro de eventos va primero.

Paso 2: borre el estado sin conexión que informa la pila HTTP

El cliente descarga su perfil y evalúa la directiva a través de los componentes HTTP de Windows, así que una marca sin conexión definida en la configuración de Internet del usuario puede romper la inicialización mientras todos los navegadores siguen cargando páginas. Compruebe el valor directamente:

Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name GlobalUserOffline

Un valor de 1 significa que la pila WinINet dice a quienes la llaman que el equipo no tiene conexión; ese estado lo suele establecer la entrada de menú Trabajar sin conexión de Internet Explorer o un script de automatización. Vuelva a ponerlo en 0, cierre y vuelva a iniciar sesión, y reintente la conexión antes de cambiar cualquier otra cosa.

Si heredó este equipo y no sabe por qué se estableció la marca, anótelo en el ticket. Algo más del equipo pudo establecerla a propósito y volverá en el siguiente inicio de sesión.

Paso 3: libere el adaptador virtual de Hyper-V o ICS

Dos roles de Windows pueden retener las piezas que el cliente necesita para crear su adaptador. Hyper-V es el primero: con los servicios del conmutador virtual en marcha, la creación del adaptador puede fallar de formas que se manifiestan como este error. Detener los servicios es un diagnóstico, no una solución:

Get-Service vmms, vmcompute | Stop-Service
Get-NetAdapter | Where-Object InterfaceDescription -like "*Hyper-V*"

Si el cliente se conecta con esos servicios detenidos, el conflicto queda confirmado y ya sabe qué negociar con el propietario del host Hyper-V. Reinícielos después, salvo que el equipo ya no necesite virtualización.

El uso compartido de conexión a Internet es el segundo propietario. Si se está compartiendo una conexión, el cliente puede fallar antes de crear siquiera un túnel. Confírmelo con Get-Service SharedAccess y, si se ejecuta y está en automático, revise los adaptadores en busca de una conexión compartida y desactive el uso compartido solo en ese adaptador.

También hay una explicación más barata que descartar primero. Un equipo sin ningún acceso a Internet funcional suele mostrar este mensaje en lugar de un error de accesibilidad, así que confirme que Test-NetConnection a la dirección de la pasarela y a un host público tienen éxito ambos antes de culpar al cliente.

Verifique y luego revierta lo que no necesitaba

La verificación no es el escudo verde de la bandeja. Confirme que el adaptador existe, tiene una dirección y pasa tráfico: Get-NetAdapter -Name "Cisco AnyConnect*" debería mostrarlo activo, ipconfig /all debería mostrar la dirección asignada y los servidores DNS, y una petición real a un nombre interno debería resolverse por el túnel y no por el resolver local.

Mantenga una lista corta de cada cambio a medida que avanza, con el valor que encontró y el valor que fijó. Si la conexión funciona tras el tercer paso, restaure los servicios de Hyper-V y vuelva a probar antes de cerrar el ticket, porque un apaño que desactiva la virtualización en silencio lo deshará el siguiente administrador que lo note.

Si ninguno de los tres pasos mueve el error, deje de cambiar el extremo. Reúna la versión del cliente, el estado del servicio, el momento del principio de esta página y el paquete de diagnóstico que el cliente pueda generar, y entréguelos con el orden exacto que probó. Ese paquete vale más para el siguiente ingeniero que una captura del diálogo, y es el único artefacto que muestra si el subsistema falló antes o después de tocar la red.