AnyConnect-fout „kan het verbindingssubsysteem niet initialiseren“ oplossen

Je klikt op Verbinden en het dialoogvenster antwoordt bijna meteen: kan het verbindingssubsysteem niet initialiseren. Niets heeft de gateway bereikt, dus er is geen certificaatuitwisseling, geen aanmeldgegeven en geen tunnelgroepkeuze aan de andere kant. Dat betekent dat de logboeken van de concentrator een lege sessie tonen en dat de helpdesk om een schermafbeelding vraagt van een venster dat nooit iets nuttigs bevatte. Werk in plaats daarvan het eindpunt af, in een vaste volgorde, en stop bij de eerste stap die de uitkomst verandert.

De timing is het meest waardevolle bewijs dat je hebt, en het kost niets om die vast te leggen. Noteer of de fout voor of na de aanmeldprompt verscheen, en of die begon na een upgrade, een Windows-update of een nieuwe beveiligingsagent. Die drie antwoorden halveren meestal de kandidatenlijst voordat je een instelling aanraakt.

Lees de timing voordat je iets verandert

Drie faalpunten lijken op elkaar en zijn dat niet. Als het venster verschijnt op het moment dat je op Verbinden drukt, kon de client zijn eigen infrastructuur niet starten, en daar wijst dit bericht op. Als het verschijnt nadat je aanmeldgegevens hebt getypt, is de tunnelgroep bereikt en ligt het probleem verderop. Als de tunnel opkomt en daarna wegvalt, is het subsysteem goed geïnitialiseerd en jaag je op een heel andere bug. De drie door elkaar halen kost een middag aan herinstallaties die niet kunnen helpen.

Alleen het eerste geval hoort hier. Het bericht wordt gegenereerd voordat er enige netwerkbeslissing wordt genomen, dus een verkeerd gatewayadres, een verlopen certificaat of een slecht wachtwoord zullen het niet veroorzaken.

Stap 1: controleer of de agentdienst draait

Het venster waarop je klikt is een frontend; het werk gebeurt in de dienst Cisco AnyConnect Secure Mobility Agent, geregistreerd als vpnagent. Als die dienst is gestopt of uitgeschakeld, heeft de GUI niets om mee te praten en meldt precies deze initialisatiefout. Controleer de status en het opstarttype vanuit een verhoogde PowerShell-prompt:

Get-Service vpnagent | Select-Object Name, Status, StartType
sc.exe qc vpnagent
net start vpnagent

Een installatieprogramma dat een eerder handmatig opstarttype respecteerde, is de gebruikelijke reden dat dit uitgeschakeld eindigt, dus controleer StartType in plaats van alleen op Start te drukken. Als de dienst binnen enkele seconden start en stopt, lees dan het System-logboek voor Service Control Manager-vermeldingen voordat je op Repareren klikt:

Get-WinEvent -FilterHashtable @{LogName="System"; ProviderName="Service Control Manager"} -MaxEvents 40

Een geblokkeerde driver, een bestand in quarantaine of een filterdriver van een beveiligingsproduct van derden noemt zichzelf in die gebeurtenissen. Repareren installeert opnieuw over hetzelfde geblokkeerde bestand en verandert niets, daarom komt het gebeurtenissenlogboek eerst.

Stap 2: wis de offlinestatus die de HTTP-stack meldt

De client downloadt zijn profiel en evalueert beleid via Windows HTTP-componenten, dus een offlinevlag in de internetinstellingen van de gebruiker kan de initialisatie breken terwijl elke browser nog pagina's laadt. Controleer de waarde rechtstreeks:

Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name GlobalUserOffline

Een waarde van 1 betekent dat de WinINet-stack aanroepers vertelt dat de machine geen verbinding heeft; deze status wordt normaal gezet via het menu-item Offline werken in Internet Explorer of door een automatiseringsscript. Zet hem terug op 0, meld je af en weer aan, en probeer de verbinding opnieuw voordat je iets anders verandert.

Heb je deze machine geërfd en kun je niet zeggen waarom de vlag is gezet, noteer dat dan in het ticket. Iets anders op de machine kan hem bewust hebben gezet, en hij komt terug bij de volgende aanmelding.

Stap 3: maak de virtuele adapter vrij van Hyper-V of ICS

Twee Windows-rollen kunnen de onderdelen vasthouden die de client nodig heeft om zijn adapter te maken. Hyper-V is de eerste: als de services van de virtuele switch draaien, kan het maken van de adapter mislukken op manieren die zich als deze fout uiten. De services stoppen is een diagnose, geen oplossing:

Get-Service vmms, vmcompute | Stop-Service
Get-NetAdapter | Where-Object InterfaceDescription -like "*Hyper-V*"

Als de client verbinding maakt terwijl die services gestopt zijn, is het conflict bevestigd en weet je nu waarover je moet onderhandelen met de eigenaar van de Hyper-V-host. Start ze daarna opnieuw, tenzij de machine geen virtualisatie meer nodig heeft.

Delen van de internetverbinding is de tweede eigenaar. Als een verbinding wordt gedeeld, kan de client mislukken voordat hij ooit een tunnel maakt. Bevestig met Get-Service SharedAccess en, als die draait en op automatisch staat, loop de adapters na op een gedeelde verbinding en schakel delen alleen op die adapter uit.

Er is ook een goedkopere verklaring die eerst moet worden uitgesloten. Een machine zonder enige werkende internettoegang toont vaak dit bericht in plaats van een bereikbaarheidsfout, dus bevestig dat Test-NetConnection naar het gatewayadres en naar een openbare host beide slagen voordat je de client de schuld geeft.

Verifieer en draai daarna terug wat je niet nodig had

Verificatie is niet het groene schild in het systeemvak. Bevestig dat de adapter bestaat, een adres heeft en verkeer doorlaat: Get-NetAdapter -Name "Cisco AnyConnect*" zou hem omhoog moeten tonen, ipconfig /all zou het toegewezen adres en de DNS-servers moeten tonen, en een echt verzoek naar een interne naam zou via de tunnel moeten worden opgelost en niet via de lokale resolver.

Houd een korte lijst bij van elke wijziging, met de gevonden waarde en de ingestelde waarde. Als de verbinding na stap drie werkt, herstel dan de Hyper-V-services en test opnieuw voordat je het ticket sluit, want een omweg die virtualisatie stil uitschakelt, wordt teruggedraaid door de volgende beheerder die het merkt.

Als geen van de drie stappen de fout verplaatst, stop dan met het wijzigen van het eindpunt. Verzamel de clientversie, de status van de dienst, de timing bovenaan deze pagina en het diagnosebundel dat de client kan maken, en overhandig die met de exacte volgorde die je hebt geprobeerd. Dat bundel is voor de volgende engineer meer waard dan een schermafbeelding van het venster, en het is het enige artefact dat laat zien of het subsysteem faalde voordat of nadat het het netwerk aanraakte.