Rett AnyConnect-feilen „kunne ikke initialisere tilkoblingsdelsystemet“

Du klikker på Koble til, og dialogen svarer nesten umiddelbart: kunne ikke initialisere tilkoblingsdelsystemet. Ingenting nådde gatewayen, så det er ingen sertifikatutveksling, ingen påloggingsinformasjon og ingen valg av tunnelgruppe i den andre enden. Det betyr at konsentratorens logger vil vise en tom økt, og at brukerstøtten vil be om et skjermbilde av en dialog som aldri inneholdt noe nyttig. Arbeid med endepunktet i stedet, i fast rekkefølge, og stopp ved det første trinnet som endrer resultatet.

Tidspunktet er det mest verdifulle beviset du har, og det koster ingenting å notere det. Skriv ned om feilen kom før eller etter påloggingsforespørselen, og om den startet etter en oppgradering, en Windows-oppdatering eller en ny sikkerhetsagent. De tre svarene halverer vanligvis kandidatlisten før du rører en innstilling.

Les tidspunktet før du endrer noe

Tre feilpunkter ser like ut og er det ikke. Hvis dialogen vises i det øyeblikket du trykker Koble til, kunne ikke klienten starte sin egen infrastruktur, og det er dette meldingen peker på. Hvis den vises etter at du har skrevet påloggingsinformasjon, er tunnelgruppen nådd, og problemet ligger lenger frem. Hvis tunnelen kommer opp og deretter faller, ble delsystemet initialisert riktig, og du jager en helt annen feil. Å forveksle de tre kaster bort en ettermiddag på reinstallasjoner som ikke kan hjelpe.

Bare det første tilfellet hører hjemme her. Meldingen genereres før noen nettverksbeslutning tas, så en feil gatewayadresse, et utløpt sertifikat eller et dårlig passord vil ikke fremkalle den.

Trinn 1: bekreft at agenttjenesten kjører

Vinduet du klikker på, er en frontend; arbeidet skjer i tjenesten Cisco AnyConnect Secure Mobility Agent, registrert som vpnagent. Hvis den tjenesten er stoppet eller deaktivert, har GUI-et ingenting å snakke med og rapporterer nøyaktig denne initialiseringsfeilen. Sjekk tilstand og starttype fra en forhøyet PowerShell-ledetekst:

Get-Service vpnagent | Select-Object Name, Status, StartType
sc.exe qc vpnagent
net start vpnagent

En installasjonspakke som respekterte en tidligere manuell starttype, er den vanlige grunnen til at dette ender deaktivert, så sjekk StartType i stedet for bare å trykke Start. Hvis tjenesten starter og stopper innen sekunder, les System-loggen for Service Control Manager-oppføringer før du klikker Reparer:

Get-WinEvent -FilterHashtable @{LogName="System"; ProviderName="Service Control Manager"} -MaxEvents 40

En blokkert driver, en fil i karantene eller en filterdriver fra et tredjeparts sikkerhetsprodukt vil navngi seg selv i disse hendelsene. Reparer reinstallerer over den samme blokkerte filen og endrer ingenting, derfor kommer hendelsesloggen først.

Trinn 2: tøm offline-tilstanden HTTP-stakken rapporterer

Klienten laster ned profilen sin og vurderer policy via Windows HTTP-komponenter, så et offline-flagg i brukerens internettinnstillinger kan bryte initialiseringen mens hver nettleser fortsatt laster sider. Sjekk verdien direkte:

Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name GlobalUserOffline

En verdi på 1 betyr at WinINet-stakken forteller kallere at maskinen ikke har noen tilkobling; denne tilstanden settes vanligvis av menyalternativet Arbeid offline i Internet Explorer eller av et automatiseringsskript. Sett den tilbake til 0, logg ut og inn igjen, og prøv tilkoblingen på nytt før du endrer noe annet.

Hvis du har arvet denne maskinen og ikke kan si hvorfor flagget ble satt, noter det i saken. Noe annet på maskinen kan ha satt det med vilje, og det kommer tilbake ved neste pålogging.

Trinn 3: frigjør den virtuelle adapteren fra Hyper-V eller ICS

To Windows-roller kan holde delene klienten trenger for å opprette adapteren sin. Hyper-V er den første: når tjenestene for den virtuelle svitsjen kjører, kan opprettelsen av adapteren feile på måter som viser seg som denne feilen. Å stoppe tjenestene er en diagnose, ikke en rettelse:

Get-Service vmms, vmcompute | Stop-Service
Get-NetAdapter | Where-Object InterfaceDescription -like "*Hyper-V*"

Hvis klienten kobler til med disse tjenestene stoppet, er konflikten bekreftet, og du vet nå hva du skal forhandle om med eieren av Hyper-V-verten. Start dem på nytt etterpå, med mindre maskinen ikke lenger trenger virtualisering.

Deling av internettilkobling er den andre eieren. Hvis en tilkobling deles, kan klienten feile før den i det hele tatt oppretter en tunnel. Bekreft med Get-Service SharedAccess og, hvis den kjører og er satt til automatisk, se gjennom adapterne etter en delt tilkobling og slå av deling kun på den adapteren.

Det finnes også en billigere forklaring som må utelukkes først. En maskin uten noen fungerende internettilgang viser ofte denne meldingen i stedet for en tilgjengelighetsfeil, så bekreft at Test-NetConnection til gatewayadressen og til en offentlig vert begge lykkes før du gir klienten skylden.

Verifiser, og rull deretter tilbake det du ikke trengte

Verifisering er ikke det grønne skjoldet i systemstatusfeltet. Bekreft at adapteren finnes, har en adresse og slipper trafikk gjennom: Get-NetAdapter -Name "Cisco AnyConnect*" skal vise den oppe, ipconfig /all skal vise den tildelte adressen og DNS-serverne, og en reell forespørsel til et internt navn skal løses gjennom tunnelen og ikke den lokale resolveren.

Hold en kort liste over hver endring, med verdien du fant og verdien du satte. Hvis tilkoblingen virker etter trinn tre, gjenopprett Hyper-V-tjenestene og test på nytt før du lukker saken, fordi en midlertidig løsning som stille deaktiverer virtualisering, vil bli rullet tilbake av den neste administratoren som merker det.

Hvis ingen av de tre trinnene flytter feilen, slutt å endre endepunktet. Samle klientversjonen, tjenestens tilstand, tidspunktet fra toppen av denne siden og diagnosebunten klienten kan produsere, og overlever dem sammen med den nøyaktige rekkefølgen du prøvde. Den bunten er verdt mer for neste ingeniør enn et skjermbilde av dialogen, og det er det eneste artefaktet som viser om delsystemet feilet før eller etter at det rørte nettverket.