Azure VPN Client: la piattaforma VPN non ha avviato la connessione

La riga di stato dice che la piattaforma VPN non ha avviato la connessione, il profilo si importa senza errori e il gateway è sano per tutti gli altri. Quel messaggio descrive una consegna dentro Windows, non una credenziale rifiutata, quindi l'ordine utile va dal cambio di stato più economico al più distruttivo. Reimportare un profilo costa un minuto, riparare il pacchetto costa un riavvio e reimpostarlo costa tutti i profili della macchina. Lavorare nell'ordine sbagliato distrugge le prove che servono per distinguere questi casi.

Reimportare, riparare, reimpostare: tre costi diversi

Le tre azioni non sono intercambiabili e solo una è reversibile senza lavoro. Reimportare aggiorna il profilo e conserva l'installazione dell'app. Riparare conserva i profili importati e riscrive i file del pacchetto. Reimpostare rimuove i profili insieme allo stato dell'app, quindi dopo reimporti tutto.

Inizia con un download nuovo di azurevpnconfig.xml ogni volta che sono cambiati il gateway, il pool di indirizzi o il metodo di autenticazione. Un profilo che nomina un gateway eliminato produce esattamente questa riga di stato, e nessuna riparazione del client sistema un file che punta a qualcosa che non esiste più.

Prima di qualsiasi passaggio distruttivo, verifica che l'app possa essere eseguita in background: Impostazioni, App, App installate, Azure VPN Client, Opzioni avanzate. Un client sospeso non può completare la consegna della piattaforma.

RasMan è il servizio a cui il client consegna

Il Remote Access Connection Manager trasforma una richiesta del client in una connessione Windows. Riavvialo da un prompt elevato con net stop rasman e poi net start rasman, e riconnettiti prima di cambiare altro.

Se questo ripristina la connessione, imposta il tipo di avvio perché la correzione sopravviva a un riavvio: sc.exe config rasman start= delayed-auto. Un servizio che ora è in esecuzione ma è disabilitato all'avvio riproduce lo stesso guasto domani mattina.

Osserva un servizio che parte e poi si ferma da solo. Questo schema indica una dipendenza o un criterio, e il riavvio funzionerà solo per qualche minuto, il che è peggio di un guasto pulito perché sembra un problema di rete intermittente. Controlla il registro System per il nome del servizio intorno al momento del tentativo e conferma che anche le dipendenze siano in esecuzione.

Utente corrente o computer locale: due archivi di certificati

Se il client si apre con un elenco di certificati vuoto, la colpa non è del profilo né del servizio. Il client legge l'archivio personale dell'utente corrente: apri certmgr.msc, espandi Certificates, Current User, Personal, Certificates e conferma che il certificato sia lì con una chiave privata.

L'archivio del computer locale aperto con certlm.msc è un altro archivio, e installarvi non soddisfa un client che cerca nell'archivio utente. Con l'autenticazione tramite certificato il gateway ha solo la chiave pubblica della radice, e ogni dispositivo ha bisogno del proprio certificato emesso da quella radice. Un certificato copiato da un'altra macchina di solito arriva senza la sua chiave privata, il che produce una voce selezionabile che però non può ancora autenticarsi.

Un selettore vuoto è un problema dell'archivio, non del tunnel.

Autenticazione con certificato o Azure AD: forme di guasto diverse

Per l'autenticazione Azure AD la configurazione punto a sito richiede l'URL del tenant, l'id dell'applicazione Azure VPN Client come audience e l'emittente STS, con un amministratore che concede il consenso all'applicazione Azure VPN. Salva questa configurazione, scarica di nuovo il pacchetto e importa il nuovo file invece di riutilizzare una copia vecchia.

Verifica anche che il pool di indirizzi del client non si sovrapponga alla rete virtuale o a un intervallo locale, e che il gruppo di sicurezza di rete della macchina di destinazione consenta il pool. Questi due errori sopravvivono a ogni riparazione lato client.

Lato portatile o lato gateway

Non giudicare il tunnel da un controllo dell'indirizzo pubblico. Una connessione punto a sito non invia tutto il traffico internet ad Azure, quindi un indirizzo pubblico invariato è previsto mentre il tunnel funziona correttamente. Prova invece un indirizzo privato dentro la rete virtuale e leggi le route effettive sulla macchina.

Annota quale passaggio ha ripristinato la connessione, la versione del client, la data di download del profilo e se un certificato o il provider di identità ha fornito la credenziale. Quella traccia trasforma l'occorrenza successiva in un controllo di due minuti e mostra se i guasti stanno scivolando verso il gateway invece di restare sul portatile.

Ordine di lavoro: reimporta un profilo attuale, riavvia RasMan, consenti l'esecuzione in background, ripara il pacchetto e reimposta solo se l'archivio dei certificati è confermato intatto.