Azure VPN Client: het VPN-platform heeft de verbinding niet gestart

De statusregel zegt dat het VPN-platform de verbinding niet heeft gestart, het profiel zonder klachten importeert en de gateway gezond is voor alle anderen. Dat bericht beschrijft een overdracht binnen Windows, geen geweigerde referentie, dus de bruikbare volgorde loopt van de goedkoopste toestandswijziging naar de meest destructieve. Een profiel opnieuw importeren kost een minuut, het pakket repareren kost een herstart en het resetten kost elk profiel op de machine. In de verkeerde volgorde werken vernietigt het bewijs dat u nodig hebt om die gevallen te onderscheiden.

Opnieuw importeren, repareren, resetten: drie verschillende kosten

De drie acties zijn niet uitwisselbaar en slechts één is zonder werk omkeerbaar. Opnieuw importeren ververst het profiel en behoudt de app-installatie. Repareren behoudt de geïmporteerde profielen en herschrijft de pakketbestanden. Resetten verwijdert de profielen samen met de app-status, dus daarna importeert u alles opnieuw.

Begin met een verse download van azurevpnconfig.xml wanneer de gateway, de adrespool of de verificatiemethode is gewijzigd. Een profiel dat een verwijderde gateway noemt, levert precies deze statusregel op, en geen enkele clientreparatie herstelt een bestand dat wijst naar iets dat niet meer bestaat.

Controleer vóór elke destructieve stap of de app op de achtergrond mag draaien: Instellingen, Apps, Geïnstalleerde apps, Azure VPN Client, Geavanceerde opties. Een opgeschorte client kan de platformoverdracht niet voltooien.

RasMan is de service waaraan de client overdraagt

De Remote Access Connection Manager maakt van een clientverzoek een Windows-verbinding. Start hem opnieuw vanuit een verhoogde prompt met net stop rasman en daarna net start rasman, en maak opnieuw verbinding voordat u iets anders wijzigt.

Als dat de verbinding herstelt, stel dan het opstarttype in zodat de oplossing een herstart overleeft: sc.exe config rasman start= delayed-auto. Een service die nu draait maar bij het opstarten is uitgeschakeld, herhaalt morgenochtend dezelfde fout.

Let op een service die start en daarna vanzelf stopt. Dat patroon wijst op een afhankelijkheid of een beleid, en opnieuw starten werkt telkens enkele minuten, wat erger is dan een schone fout omdat het op een terugkerend netwerkprobleem lijkt. Controleer het System-logboek op de servicenaam rond het moment van de poging en bevestig dat de afhankelijkheden ook draaien.

Huidige gebruiker of lokale computer: twee certificaatopslagen

Als de client opent met een lege certificaatlijst, ligt het niet aan het profiel en ook niet aan de service. De client leest de persoonlijke opslag van de huidige gebruiker: open certmgr.msc, vouw Certificates, Current User, Personal, Certificates uit en bevestig dat het certificaat daar met een persoonlijke sleutel staat.

De opslag van de lokale computer die met certlm.msc opent is een andere opslag, en installatie daar stelt een client die in de gebruikersopslag kijkt niet tevreden. Bij certificaatverificatie heeft de gateway alleen de openbare sleutel van de hoofdmap, en elk apparaat heeft zijn eigen certificaat nodig dat uit die hoofdmap is uitgegeven. Een certificaat dat van een andere machine is gekopieerd, komt meestal zonder de persoonlijke sleutel aan, wat een vermelding oplevert die u kunt selecteren maar die nog steeds niet kan verifiëren.

Een lege kiezer is een opslagprobleem, geen tunnelprobleem.

Certificaatverificatie of Azure AD: verschillende faalvormen

Voor Azure AD-verificatie heeft de punt-naar-site-configuratie de URL van de tenant, de applicatie-ID van Azure VPN Client als doelgroep en de STS-uitgever nodig, waarbij een beheerder toestemming geeft aan de Azure VPN-toepassing. Sla die configuratie op, download het pakket opnieuw en importeer het nieuwe bestand in plaats van een oudere kopie te hergebruiken.

Bevestig ook dat de adrespool van de client niet overlapt met het virtuele netwerk of een lokaal bereik, en dat de netwerkbeveiligingsgroep van de doelmachine de pool toestaat. Die twee fouten overleven elke reparatie aan de clientkant.

Laptokkant of gatewaykant

Beoordeel de tunnel niet op een controle van het openbare adres. Een punt-naar-site-verbinding stuurt niet al het internetverkeer naar Azure, dus een ongewijzigd openbaar adres is te verwachten terwijl de tunnel correct werkt. Test in plaats daarvan een privéadres binnen het virtuele netwerk en lees de effectieve routes op de machine.

Noteer welke stap de verbinding herstelde, de clientversie, de downloaddatum van het profiel en of een certificaat of de identiteitsprovider de referentie leverde. Die registratie maakt het volgende geval een controle van twee minuten, en ze laat zien of de fouten richting gateway schuiven in plaats van op de laptop te blijven.

Werkvolgorde: importeer een actueel profiel opnieuw, herstart RasMan, sta uitvoering op de achtergrond toe, repareer het pakket en reset alleen als de certificaatopslag bevestigd intact is.