Réparer Check Point VPN : la connectivité avec le service VPN est perdue

Connect ne fait rien et le client signale que la connectivité avec le service VPN est perdue. Cette phrase concerne la machine devant vous : le service derrière le tunnel, l’adaptateur virtuel sur lequel il repose, ou l’installation qui relie les deux. Rien n’y met en cause la passerelle, donc retaper l’adresse du site ou le compte ne change rien. Lisez-la comme une défaillance locale et l’espace de recherche se réduit.

Lire l’erreur comme une défaillance locale

Les rejets côté serveur sonnent différemment : authentification échouée, passerelle injoignable, certificat invalide. Perdre la connexion au service signifie que le client ne peut pas atteindre son propre démon, ce qui écarte la passerelle, les identifiants et les règles du pare-feu dès la première heure. Copiez la formulation exacte dans vos notes avant de toucher à quoi que ce soit, car c’est cette chaîne qui sépare un service mort d’un refus de politique.

Après cela, il ne reste que trois suspects : les services, les pilotes et l’installateur.

Démarrez tous les services Check Point, pas un seul

Ouvrez services.msc et lisez chaque entrée Check Point, pas seulement celle dont le nom apparaît dans l’erreur. Une installation d’Endpoint Security VPN en enregistre plusieurs, et une seule entrée arrêtée ou désactivée suffit à empêcher le client de se connecter. Démarrez-les toutes, puis faites passer celles dont dépend le client de Manuel à Automatique, car un service Manuel qui échoue à la demande reproduit l’erreur exactement.

La chaîne de dépendances compte autant que les services eux-mêmes.

DHCP Client attribue son adresse à l’adaptateur virtuel, et repose lui-même sur trois composants : Network Store Interface Service, le pilote NetIO legacy TDI et Ancillary Function Driver for Winsock. Arrêtez DHCP Client et le service VPN peut démarrer proprement alors que l’adaptateur n’a toujours pas d’adresse. Les mises à jour de fonctionnalités sont le déclencheur récurrent, car elles peuvent remettre discrètement un service tiers en Manuel ou Désactivé. Interrogez le type de démarrage après l’une de ces mises à jour au lieu de conclure que l’installation est corrompue.

Get-Service -Name "Check*" | Format-Table -AutoSize Name, Status, StartType
Get-Service -Name Dhcp | Format-Table -AutoSize Name, Status, StartType

Vérifiez la liaison de l’adaptateur avant de réinstaller

Quand les services tournent et que le message persiste, regardez l’adaptateur. Un adaptateur peut être présent et malgré tout cassé, généralement parce que le pilote auquel il se lie n’a pas survécu à une mise à niveau. Le désactiver puis le réactiver est le test bon marché, et le Gestionnaire de périphériques exige qu’un réglage soit modifié avant même que l’appareil ne soit visible.

set devmgr_show_nonpresent_devices=1
start devmgmt.msc

Sous View, choisissez Show hidden devices, ouvrez Network adapters et repérez l’adaptateur virtuel Check Point. Désactivez-le puis réactivez-le, et essayez ensuite une connexion. Un badge d’avertissement, ou aucune entrée du tout, signifie que le pilote a disparu et non qu’il est en pause.

Réparez l’installation au lieu de la supprimer

Dans Programs and Features, faites un clic droit sur Check Point Endpoint Security VPN et choisissez Repair. Cette seule passe réenregistre le service et l’adaptateur tout en laissant la configuration du site là où elle est. Installer de zéro après une désinstallation jette cette configuration et coûte normalement un redémarrage pour rien.

Si Repair s’arrête en cours de route, le journal d’installation nomme le composant qui a refusé. Une fois terminé, vérifiez que le service et l’adaptateur sont revenus avant de vous reconnecter ; un adaptateur qui porte encore un badge d’avertissement signifie que le paquet de pilotes n’a jamais été réinstallé, et Repair seul ne peut pas y remédier.

Séparez un problème de chemin réseau d’un problème de client

Tous les cas ne sont pas locaux. Un LAN d’entreprise qui pousse le trafic à travers un proxy authentifiant peut empêcher le client d’atteindre la passerelle, alors que le même portable se connecte très bien via un point d’accès du téléphone. Si le point d’accès fonctionne, le client est sain et le problème appartient au chemin du proxy.

Un réglage du BIOS qui commute automatiquement les adaptateurs réseau peut aussi remplacer la liaison sous le client. Ne le désactivez que là où la machine expose réellement l’option, car la plupart des portables ne le font pas.

Connectez-vous et confirmez que l’adaptateur du tunnel a obtenu une adresse et que les services sont restés actifs avant de clore le dossier.

ipconfig /all
Get-Service -Name "Check*" | Format-Table -AutoSize Name, Status

Un tunnel qui tient une minute puis meurt désigne généralement l’adaptateur, ou un produit de sécurité qui l’inspecte, plutôt que le compte. Planifiez un redémarrage après une réparation de pilote ou MSI, car c’est ce qui reconstruit la liaison, et notez les types de démarrage sains pendant que tout fonctionne afin que la prochaine mise à jour ait de quoi comparer.