AnyConnect dice che il servizio VPN non è disponibile: soluzione su Windows

La finestra compare nel momento in cui fate clic su Connect, prima di qualsiasi richiesta di credenziali, e dice che il servizio VPN non è disponibile. Nulla ha ancora lasciato la macchina. La finestra di AnyConnect parla con un servizio locale di Windows, e quando quella conversazione fallisce il client si arrende prima ancora di nominare un gateway. Quest’ordine è l’indizio più utile dell’intero messaggio: state eseguendo il debug di un servizio e di un driver, non di un certificato o di una regola del firewall dall’altra parte. Ecco l’ordine che seguo, il controllo meno costoso per primo.

La finestra compare prima che venga contattato il gateway

La finestra è un frontend sottile. Chiede al servizio dell’agente di costruire il tunnel, e quel servizio possiede l’adattatore, le modifiche di routing e l’archivio dei profili. Se il servizio manca, è fermo o bloccato, il frontend non ha nulla con cui parlare e segnala esattamente questo.

La conseguenza pratica è semplice: nessun nome server, nessuna richiesta di credenziali, nessun errore di certificato. Se vedete una di queste cose, smettete di leggere e guardate il tunnel.

Controllate il servizio dell’agente prima di tutto

Aprile services.msc e trovate Cisco AnyConnect Secure Mobility Agent. Se il tipo di avvio è Disabled, impostate Automatic e avviatelo. Un servizio disabilitato da un aggiornamento o lasciato da un crash spesso parte pulito una volta e resta attivo. Se muore di nuovo in pochi secondi, annotate il codice di errore e continuate a leggere.

Due servizi di supporto meritano uno sguardo sulle macchine ostinate. Riavviare Base Filtering Engine ha cancellato questo messaggio quando il driver del filtro era bloccato. Dove Internet Connection Sharing era attivo, disattivare ICS ha fatto lo stesso, perché i due competono per la stessa infrastruttura di rete.

Su un portatile gestito il servizio può essere disabilitato per criteri aziendali di proposito, quindi confermate con chi possiede il dispositivo prima di riabilitarlo.

Poi controllate l’adattatore virtuale

AnyConnect ha bisogno del proprio adattatore virtuale, e uno disabilitato produce la stessa finestra su alcune build. Aprite Connessioni di rete, trovate la voce Cisco AnyConnect Secure Mobility Client e attivatela se è in grigio. Lo stesso pannello gestisce il caso bloccato: un’interfaccia in stato di connessione di solito non può essere rimossa da Impostazioni, ma qui può essere disabilitata ed eliminata.

Se l’adattatore manca del tutto, il driver non è stato installato. Questo punta alla sezione successiva e non a qualcosa che potete commutare.

Quando un riavvio non tiene

Una directory di installazione residua può ripristinare lo stato rotto a ogni avvio. Disinstallate il client, eliminate la cartella Cisco AnyConnect sotto ProgramData, riavviate e poi reinstallate la stessa versione. È la rimozione di quella cartella a ripulire profili e frammenti di criteri macchina che il disinstallatore lascia dietro. Una versione principale più recente può anch’essa cancellare il messaggio, ma solo se il vostro gateway accetta quella versione del client.

Gli utenti macOS incontrano la stessa formulazione tramite un altro componente. L’agente è un job launchd, quindi caricalo e confermate che l’app sia autorizzata a girare in background. Nelle versioni attuali quell’interruttore sta sotto Login Items ed Extensions, e un’app disattivata lì si avvia e poi fallisce con questo messaggio esatto.

Quando la causa è un secondo client VPN

Due client possono litigare sui driver del filtro e sulla priorità dell’adattatore. Un client Forti installato accanto a un client Cisco più vecchio ha lasciato persone connesse ma incapaci di raggiungere qualsiasi cosa, e rimuovere il client inutilizzato ha ripristinato il servizio. L’alternativa praticabile sono route esplicite per ogni subnet VPN, così che gli indirizzi di ciascun client finiscano sull’adattatore giusto invece di dipendere dall’ordine delle metriche.

Se entrambi i client devono restare, decidete le route deliberatamente e scrivetele. Indovinare le metriche si rompe al prossimo aggiornamento.

Un ordine di riparazione che non richiede due reinstallazioni

Prima di reinstallare, catturate il log dell’agente. Il messaggio copre diversi guasti distinti, e il log è l’unica cosa che li separa a posteriori. Poi eseguite questo ordine e fermatevi al primo passo che cambia il comportamento:

• Servizio dell’agente presente, tipo di avvio Automatic, in esecuzione prima che parta la GUI.
• Adattatore virtuale abilitato in Connessioni di rete, nessuna interfaccia bloccata in stato di connessione.
• Internet Connection Sharing disattivato, Base Filtering Engine sano.
• Cartella ProgramData rimossa prima di una reinstallazione, stessa versione reinstallata.
• Nessun secondo client VPN che detenga gli stessi driver del filtro.

Se il client esce prima di mostrare un nome server o una richiesta di credenziali, nulla sulla rete è stato contattato. Una quarta reinstallazione non troverà una causa che uno stato del servizio vi avrebbe mostrato in due minuti.