AnyConnect が「VPN サービスを利用できません」と表示する: Windows での修復

このダイアログは Connect を押した瞬間、資格情報の入力を求められる前に現れ、「VPN サービスを利用できません」と表示します。まだ何もマシンの外に出ていません。AnyConnect のウィンドウはローカルの Windows サービスと通信しており、その会話が失敗すると、クライアントはゲートウェイの名前を出す前に諦めます。この順序こそ、メッセージ全体で最も有用な手がかりです。デバッグしているのはサービスとドライバーであり、向こう側の証明書やファイアウォール規則ではありません。以下が私の進める順序で、最も安い確認から始めます。

ダイアログはゲートウェイに接続する前に現れる

ウィンドウは薄いフロントエンドにすぎません。エージェント サービスにトンネルの構築を要求し、そのサービスがアダプター、ルーティングの変更、プロファイルの保存場所を所有しています。サービスが存在しない、停止している、ブロックされている場合、フロントエンドには話す相手がなく、まさにこの表示を出します。

実務的な結論は単純です。サーバー名も、資格情報の要求も、証明書エラーも出ません。それらのどれかが見えるなら、この記事を読むのをやめてトンネルを見てください。

何よりも先にエージェント サービスを確認する

services.msc を開き、Cisco AnyConnect Secure Mobility Agent を探します。スタートアップの種類が Disabled なら Automatic に変えて開始します。更新で無効化されたサービスや、クラッシュの後に残ったサービスは、一度きれいに起動してそのまま動き続けることがよくあります。数秒でまた止まる場合は、エラー コードを控えて読み進めてください。

手ごわいマシンでは、補助的なサービスを二つ見る価値があります。フィルター ドライバーが固まっていたとき、Base Filtering Engine の再起動でこのメッセージが消えた例があります。Internet Connection Sharing が有効だった環境では、ICS を切ることで同じ結果が得られています。両者が同じネットワーク基盤を取り合うためです。

管理されたノート PC では、ポリシーによって意図的に無効化されていることがあるので、有効に戻す前に端末の管理者に確認してください。

次に仮想アダプターを確認する

AnyConnect には専用の仮想アダプターが必要で、無効になっていると一部のビルドでは同じダイアログが出ます。ネットワーク接続を開き、Cisco AnyConnect Secure Mobility Client の項目を見つけ、グレー表示なら有効にします。同じ画面で固まった状態も扱えます。接続中の状態のままのインターフェイスは通常、設定から削除できませんが、ここでは無効化して削除できます。

アダプターが完全に存在しない場合、ドライバーがインストールされていません。これは切り替えで直る話ではなく、次の節の話です。

再起動が定着しないとき

残ったインストール ディレクトリは、起動のたびに壊れた状態を復元することがあります。クライアントをアンインストールし、ProgramData の下の Cisco AnyConnect フォルダーを削除し、再起動してから同じバージョンを再インストールします。このフォルダーを消すことで、アンインストーラーが残すプロファイルとマシン ポリシーの断片が片付きます。新しいメジャー バージョンでもメッセージが消えることがありますが、ゲートウェイがそのクライアント バージョンを受け入れる場合に限ります。

macOS の利用者は別のコンポーネントを通じて同じ文言に遭遇します。エージェントは launchd のジョブなので、それを読み込み、アプリにバックグラウンド実行が許可されていることを確認します。現在のリリースではそのスイッチは Login Items と Extensions の下にあり、そこで切られたアプリは起動した後にまさにこのメッセージで失敗します。

二つ目の VPN クライアントが原因のとき

二つのクライアントはフィルター ドライバーとアダプターの優先順位を争うことがあります。古い Cisco クライアントの隣にインストールされた Forti クライアントは、接続はしているのに何にも届かない状態を残し、使っていないクライアントを外すとサービスが戻りました。実用的な代替は VPN サブネットごとの明示的なルートです。各クライアントのアドレスがメトリックの順序に依存せず、正しいアダプターに載ります。

両方のクライアントを残す必要があるなら、ルートを意図的に決めて書き留めてください。メトリックの当て推量は次の更新で崩れます。

二度の再インストールを要さない修復順序

再インストールの前に、エージェントのログを取得してください。このメッセージはいくつかの異なる障害を覆っており、後からそれらを分ける唯一のものがログです。そのうえで次の順序を実行し、挙動が変わる最初の段階で止めます。

• エージェント サービスが存在し、スタートアップの種類が Automatic で、GUI の起動前に動いている。
• ネットワーク接続で仮想アダプターが有効で、接続中の状態で固まったインターフェイスがない。
• Internet Connection Sharing がオフで、Base Filtering Engine が健全。
• 再インストールの前に ProgramData フォルダーを削除し、同じバージョンを入れ直した。
• 同じフィルター ドライバーを握る二つ目の VPN クライアントがない。

クライアントがサーバー名や資格情報の要求を出す前に終了するなら、ネットワーク上では何も接触していません。四度目の再インストールでは、サービスの状態が二分で示してくれた原因を見つけられません。