Como solucionar o erro de AnyConnect ao inicializar o subsistema de conexión

Fai clic en Conectar e o diálogo responde case ao instante: non se puido inicializar o subsistema de conexión. Non chegou nada á pasarela, así que non hai intercambio de certificados, nin credenciais, nin selección de grupo de túnel no outro extremo. Iso significa que os rexistros do concentrador amosarán unha sesión baleira e que o servizo de asistencia pedirá unha captura dun diálogo que nunca contivo nada útil. Traballa mellor sobre o extremo, nunha orde fixa, e detente no primeiro paso que cambie o resultado.

O momento é a evidencia máis valiosa que ten e rexistralo non custa nada. Anote se o erro apareceu antes ou despois da solicitude de credenciais e se comezou tras unha actualización, unha actualización de Windows ou un axente de seguridade novo. Esas tres respostas adoitan reducir á metade a lista de candidatos antes de que toque ningún axuste.

Lea o momento antes de cambiar nada

Tres puntos de fallo parecen iguais e non o son. Se o diálogo aparece no momento de premer Conectar, o cliente non puido arrincar a súa propia infraestrutura, e a iso apunta esta mensaxe. Se aparece despois de escribir as credenciais, alcanzouse o grupo de túnel e o problema está máis adiante. Se o túnel sobe e logo cae, o subsistema inicializouse ben e vostede persegue un erro completamente distinto. Confundir os tres fai perder unha tarde en reinstalacións que non poden axudar.

Aquí só pertence o primeiro caso. A mensaxe xérase antes de que se tome ningunha decisión de rede, así que un enderezo de pasarela incorrecto, un certificado caducado ou un contrasinal malo non o producirán.

Paso 1: confirme que o servizo do axente se executa

A xanela na que fai clic é unha interface; o traballo ocorre no servizo Cisco AnyConnect Secure Mobility Agent, rexistrado como vpnagent. Se ese servizo está detido ou desactivado, a interface gráfica non ten con quen falar e informa exactamente deste fallo de inicialización. Comprobe o estado e o tipo de inicio desde un símbolo do sistema de PowerShell con privilexios elevados:

Get-Service vpnagent | Select-Object Name, Status, StartType
sc.exe qc vpnagent
net start vpnagent

Un instalador que respectou un tipo de inicio manual anterior é a razón habitual de que acabe desactivado, así que comprobe StartType en lugar de só premer Iniciar. Se o servizo arrinca e detense en cuestión de segundos, lea o rexistro do sistema na procura de entradas do Service Control Manager antes de facer clic en Reparar:

Get-WinEvent -FilterHashtable @{LogName="System"; ProviderName="Service Control Manager"} -MaxEvents 40

Un controlador bloqueado, un ficheiro en corentena ou un controlador de filtro dun produto de seguridade de terceiros nomearase neses eventos. Reparar reinstala sobre o mesmo ficheiro bloqueado e non cambia nada, por iso o rexistro de eventos vai primeiro.

Paso 2: borre o estado fóra de liña que informa a pila HTTP

O cliente descarga o seu perfil e avalía a política a través dos compoñentes HTTP de Windows, así que un sinal fóra de liña definido na configuración de Internet do usuario pode romper a inicialización mentres todos os navegadores seguen cargando páxinas. Comprobe o valor directamente:

Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name GlobalUserOffline

Un valor de 1 significa que a pila WinINet di a quen a chama que o equipo non ten conexión; ese estado adoita establecelo a entrada de menú Traballar fóra de liña de Internet Explorer ou un script de automatización. Devolva o valor a 0, peche e volva iniciar sesión, e tente a conexión de novo antes de cambiar calquera outra cousa.

Se herdou este equipo e non sabe por que se estableceu o sinal, anóteo no ticket. Algo máis do equipo puido establecelo a propósito e volverá no seguinte inicio de sesión.

Paso 3: libere o adaptador virtual de Hyper-V ou ICS

Dous roles de Windows poden reter as pezas que o cliente necesita para crear o seu adaptador. Hyper-V é o primeiro: cos servizos do conmutador virtual en marcha, a creación do adaptador pode fallar de formas que se manifestan como este erro. Deter os servizos é un diagnóstico, non unha solución:

Get-Service vmms, vmcompute | Stop-Service
Get-NetAdapter | Where-Object InterfaceDescription -like "*Hyper-V*"

Se o cliente se conecta con eses servizos detidos, o conflito queda confirmado e xa sabe que negociar co propietario do host Hyper-V. Reinícieos despois, agás que o equipo xa non necesite virtualización.

A compartición de conexión a Internet é o segundo propietario. Se se está a compartir unha conexión, o cliente pode fallar antes de crear sequera un túnel. Confírmeo con Get-Service SharedAccess e, se se executa e está en automático, revise os adaptadores na procura dunha conexión compartida e desactive a compartición só nese adaptador.

Tamén hai unha explicación máis barata que descartar primeiro. Un equipo sen ningún acceso a Internet funcional adoita amosar esta mensaxe en lugar dun erro de accesibilidade, así que confirme que Test-NetConnection ao enderezo da pasarela e a un host público teñen éxito ambos antes de culpar o cliente.

Verifique e despois reverta o que non necesitaba

A verificación non é o escudo verde da bandexa. Confirme que o adaptador existe, ten un enderezo e pasa tráfico: Get-NetAdapter -Name "Cisco AnyConnect*" debería mostralo activo, ipconfig /all debería mostrar o enderezo asignado e os servidores DNS, e unha petición real a un nome interno debería resolverse polo túnel e non polo resolvedor local.

Manteña unha lista curta de cada cambio a medida que avanza, co valor que atopou e o valor que fixou. Se a conexión funciona tras o terceiro paso, restaure os servizos de Hyper-V e volva probar antes de pechar o ticket, porque unha solución temporal que desactiva a virtualización en silencio será desfeita polo seguinte administrador que o note.

Se ningún dos tres pasos move o erro, deixe de cambiar o extremo. Reúna a versión do cliente, o estado do servizo, o momento do principio desta páxina e o paquete de diagnóstico que o cliente poida xerar, e entrégueos coa orde exacta que probou. Ese paquete vale máis para o seguinte enxeñeiro que unha captura do diálogo, e é o único artefacto que mostra se o subsistema fallou antes ou despois de tocar a rede.