Check Point VPN を修正: VPN サービスとの接続が失われた

Connect を押しても何も起きず、クライアントは VPN サービスとの接続が失われたと報告します。この一文が指すのは目の前のマシンです。トンネルの背後にあるサービス、それが載っている仮想アダプター、あるいは両者を結び付けるインストールのいずれかです。ゲートウェイを示すものは何もないため、サイトのアドレスやアカウントを入力し直しても何も変わりません。ローカル障害として読めば、探索範囲は一気に狭まります。

エラーをローカル障害として読む

サーバー側の拒否は趣が異なります。認証失敗、ゲートウェイに到達できない、証明書が無効です。サービス接続を失うということは、クライアントが自身のデーモンに到達できない、つまりゲートウェイ、資格情報、ファイアウォール規則を最初の一時間から除外できます。何も触る前に正確な文言をメモに写してください。その文字列が、死んだサービスとポリシーによる拒否を分けるからです。

その後、容疑者は三つだけです。サービス、ドライバー、インストーラーです。

Check Point のサービスを一つだけでなく全部起動する

services.msc を開き、エラーに出てくる名前の項目だけでなく、すべての Check Point の項目を読んでください。Endpoint Security VPN をインストールすると複数の項目が登録され、一つでも停止または無効になっていればクライアントは接続できません。すべて起動し、次にクライアントが依存するものを手動から自動へ変更します。要求時に失敗する手動サービスは、そのエラーを正確に再現するからです。

依存関係の連鎖は、サービスそのものと同じくらい重要です。

DHCP Client は仮想アダプターにアドレスを渡し、それ自身は三つの構成要素に支えられています。Network Store Interface Service、NetIO legacy TDI ドライバー、Ancillary Function Driver for Winsock です。DHCP Client を止めると、アダプターにまだアドレスがないまま VPN サービスだけがきれいに起動することがあります。機能更新が繰り返しの引き金になるのは、サードパーティのサービスを手動や無効へ静かに戻すことがあるためです。そのような更新の後は、インストールが壊れたと決めつけずに起動の種類を問い合わせてください。

Get-Service -Name "Check*" | Format-Table -AutoSize Name, Status, StartType
Get-Service -Name Dhcp | Format-Table -AutoSize Name, Status, StartType

再インストールの前にアダプターのバインドを確認する

サービスが動いていてメッセージが残るなら、次はアダプターを見ます。アダプターは存在していても壊れていることがあり、たいていは結び付いているドライバーがアップグレードを生き延びなかったためです。無効にしてから有効に戻すのが安価な確認で、デバイスを表示させる前にデバイスマネージャーで一つの設定を変える必要があります。

set devmgr_show_nonpresent_devices=1
start devmgmt.msc

View で Show hidden devices を選び、Network adapters を開いて Check Point の仮想アダプターを見つけます。いったん無効にしてから再び有効にし、接続を試します。警告のバッジが出る、あるいは項目自体がない場合は、ドライバーが一時停止しているのではなく消えているということです。

削除するのではなくインストールを修復する

Programs and Features で Check Point Endpoint Security VPN を右クリックし、Repair を選びます。この一度の処理でサービスとアダプターの両方が再登録され、サイト設定はそのまま残ります。アンインストール後にゼロから入れると、その設定は捨てられ、たいてい無駄な再起動を一度強いられます。

Repair が途中で止まる場合、インストールログに拒否した構成要素が記されます。完了したら、再接続の前にサービスとアダプターの両方が戻ったことを確認してください。警告のバッジが付いたままのアダプターは、ドライバーパッケージが再インストールされなかったということで、Repair だけでは直せません。

ネットワーク経路の問題とクライアントの問題を切り分ける

すべての事例がローカルとは限りません。認証を行うプロキシ経由で通信を流す社内 LAN では、クライアントがゲートウェイに届かないことがありますが、同じノート PC が携帯のテザリングでは問題なくつながります。テザリングでつながるなら、クライアントは健全で、問題はプロキシ経路にあります。

ネットワークアダプターを自動で切り替える BIOS 設定も、クライアントの下のリンクを入れ替えることがあります。その設定を実際に備えているマシンでのみ無効にしてください。ほとんどのノート PC にはありません。

接続し、トンネルのアダプターがアドレスを取得したことと、サービスが動き続けたことを確認してから案件を閉じてください。

ipconfig /all
Get-Service -Name "Check*" | Format-Table -AutoSize Name, Status

一分持ってから落ちるトンネルは、たいていアカウントではなく、アダプターかそれを検査するセキュリティ製品を示します。ドライバーや MSI の修復のあとに再起動を一度予定してください。バインドを組み直すのはそれだからです。そしてすべてが動いているうちに正常な起動の種類を書き留めておけば、次の更新のときに比べるものがあります。