תיקון Check Point VPN: הקישוריות לשירות ה-VPN אבדה

Connect לא עושה דבר והלקוח מדווח שהקישוריות לשירות ה-VPN אבדה. המשפט הזה עוסק במכונה שלפניכם: השירות שמאחורי המנהרה, המתאם הווירטואלי שהוא יושב עליו, או ההתקנה שקושרת את השניים. שום דבר בו לא מאשים את השער, ולכן הקלדה מחדש של כתובת האתר או החשבון לא משנה דבר. קראו אותו ככשל מקומי ומרחב החיפוש מצטמצם.

קראו את השגיאה ככשל מקומי

דחיות בצד השרת נשמעות אחרת: אימות נכשל, השער אינו נגיש, התעודה אינה תקפה. לאבד את החיבור לשירות פירושו שהלקוח לא יכול להגיע לדמון שלו, מה שמוציא את השער, את פרטי הכניסה ואת כללי חומת האש מהשעה הראשונה. העתיקו את הנוסח המדויק להערותיכם לפני שתיגעו במשהו, כי המחרוזת הזו היא מה שמפריד בין שירות מת לבין דחייה בגלל מדיניות.

אחרי זה נשארים רק שלושה חשודים: שירותים, מנהלי התקנים והמתקין.

הפעילו כל שירות של Check Point, לא רק אחד

פתחו את services.msc וקראו כל רשומה של Check Point, לא רק זו ששמה מופיע בשגיאה. התקנה של Endpoint Security VPN רושמת כמה, ורשומה אחת מופסקת או מושבתת מספיקה כדי שהלקוח לא יתחבר. הפעילו את כולן, ואז העבירו את אלה שהלקוח תלוי בהן מידני לאוטומטי, כי שירות ידני שנכשל לפי דרישה משחזר את השגיאה בדיוק.

שרשרת התלות חשובה לא פחות מהשירותים עצמם.

DHCP Client נותן למתאם הווירטואלי את הכתובת שלו, והוא עצמו נשען על שלושה רכיבים: Network Store Interface Service, מנהל ההתקן NetIO legacy TDI ו-Ancillary Function Driver for Winsock. עצרו את DHCP Client ושירות ה-VPN יכול לעלות נקי בזמן שלמתאם עדיין אין כתובת. עדכוני תכונות הם הטריגר החוזר, כי הם יכולים להחזיר בשקט שירות של צד שלישי לידני או מושבת. שאלו על סוג האתחול אחרי עדכון כזה במקום להסיק שההתקנה פגומה.

Get-Service -Name "Check*" | Format-Table -AutoSize Name, Status, StartType
Get-Service -Name Dhcp | Format-Table -AutoSize Name, Status, StartType

בדקו את כריכת המתאם לפני התקנה מחדש

כשהשירותים פועלים וההודעה נמשכת, הביטו במתאם. מתאם יכול להיות נוכח ועדיין שבור, בדרך כלל כי מנהל ההתקן שהוא נכרך אליו לא שרד שדרוג. השבתה והפעלה מחדש היא הבדיקה הזולה, ומנהל ההתקנים צריך שינוי הגדרה אחת לפני שההתקן בכלל נראה.

set devmgr_show_nonpresent_devices=1
start devmgmt.msc

תחת View בחרו Show hidden devices, פתחו Network adapters ומצאו את המתאם הווירטואלי של Check Point. כבו והדליקו אותו מחדש, ואז נסו חיבור. תג אזהרה, או היעדר רשומה לגמרי, פירושו שמנהל ההתקן נעלם ולא מושהה.

תקנו את ההתקנה במקום להסיר אותה

ב-Programs and Features לחצו ימני על Check Point Endpoint Security VPN ובחרו Repair. המעבר האחד הזה רושם מחדש גם את השירות וגם את המתאם ומשאיר את תצורת האתר במקומה. התקנה מאפס אחרי הסרה משליכה את התצורה הזו ובדרך כלל עולה אתחול אחד לחינם.

אם Repair נעצר באמצע, יומן ההתקנה נוקב בשם הרכיב שסירב. כשמסתיים, בדקו שגם השירות וגם המתאם חזרו לפני שמתחברים מחדש; מתאם שעדיין נושא תג אזהרה פירושו שחבילת מנהל ההתקן מעולם לא הותקנה מחדש, ו-Repair לבדו לא יכול לתקן זאת.

הפרידו בין בעיית נתיב רשת לבעיית לקוח

לא כל מקרה הוא מקומי. LAN ארגוני שדוחף תעבורה דרך פרוקסי שמבצע אימות יכול למנוע מהלקוח להגיע לשער, בעוד אותו מחשב נייד מתחבר היטב דרך נקודה חמה של טלפון. אם הנקודה החמה עובדת, הלקוח תקין והבעיה בנתיב הפרוקסי.

הגדרת BIOS שמחליפה מתאמי רשת אוטומטית יכולה גם היא להחליף את הקישור מתחת ללקוח. השביתו אותה רק במקום שבו המכונה באמת מציעה את האפשרות, כי רוב המחשבים הניידים לא מציעים.

התחברו וודאו שמתאם המנהרה קיבל כתובת ושהשירותים נשארו פעילים לפני שסוגרים את המקרה.

ipconfig /all
Get-Service -Name "Check*" | Format-Table -AutoSize Name, Status

מנהרה שמחזיקה דקה ואז מתה מצביעה בדרך כלל על המתאם, או על מוצר אבטחה שבוחן אותו, ולא על החשבון. תזמנו אתחול אחד אחרי תיקון מנהל התקן או MSI, כי זה מה שבונה מחדש את הכריכה, ורשמו את סוגי האתחול התקינים כשהכול עובד כדי שלעדכון הבא יהיה למה להשוות.