Azure VPN Client: platforma VPN nie uruchomiła połączenia

Wiersz stanu mówi, że platforma VPN nie uruchomiła połączenia, profil importuje się bez skargi, a brama jest zdrowa dla wszystkich innych. Ten komunikat opisuje przekazanie wewnątrz Windows, a nie odrzucone poświadczenie, więc użyteczna kolejność biegnie od najtańszej zmiany stanu do najbardziej niszczącej. Ponowny import profilu kosztuje minutę, naprawa pakietu kosztuje restart, a reset kosztuje wszystkie profile na maszynie. Praca w złej kolejności niszczy dowody potrzebne do rozróżnienia tych przypadków.

Ponowny import, naprawa, reset: trzy różne koszty

Trzy działania nie są wymienne i tylko jedno jest odwracalne bez pracy. Ponowny import odświeża profil i zachowuje instalację aplikacji. Naprawa zachowuje zaimportowane profile i przepisuje pliki pakietu. Reset usuwa profile wraz ze stanem aplikacji, więc potem importujesz wszystko od nowa.

Zacznij od świeżego pobrania azurevpnconfig.xml, gdy zmieniła się brama, pula adresów lub metoda uwierzytelniania. Profil wskazujący usuniętą bramę daje dokładnie ten wiersz stanu, a żadna naprawa klienta nie naprawi pliku wskazującego na coś, czego już nie ma.

Przed każdym niszczącym krokiem sprawdź, czy aplikacja może działać w tle: Ustawienia, Aplikacje, Zainstalowane aplikacje, Azure VPN Client, Opcje zaawansowane. Zawieszony klient nie może dokończyć przekazania platformy.

RasMan to usługa, do której klient przekazuje

Remote Access Connection Manager zamienia żądanie klienta w połączenie Windows. Uruchom go ponownie z podniesionego wiersza poleceń poleceniami net stop rasman, a następnie net start rasman, i połącz się ponownie, zanim zmienisz cokolwiek innego.

Jeśli to przywróci połączenie, ustaw typ uruchomienia, aby poprawka przetrwała restart: sc.exe config rasman start= delayed-auto. Usługa działająca teraz, ale wyłączona przy rozruchu, odtworzy ten sam błąd jutro rano.

Obserwuj usługę, która startuje, a potem sama się zatrzymuje. Ten wzorzec wskazuje zależność lub politykę, a restart będzie działał po kilka minut, co jest gorsze od czystego błędu, bo wygląda jak problem sieci pojawiający się okresowo. Sprawdź dziennik System pod kątem nazwy usługi w czasie próby i potwierdź, że zależności też działają.

Bieżący użytkownik lub komputer lokalny: dwa magazyny certyfikatów

Jeśli klient otwiera się z pustą listą certyfikatów, winny nie jest profil ani usługa. Klient czyta magazyn osobisty bieżącego użytkownika: otwórz certmgr.msc, rozwiń Certificates, Current User, Personal, Certificates i potwierdź, że certyfikat tam jest z kluczem prywatnym.

Magazyn komputera lokalnego otwierany przez certlm.msc to inny magazyn, a instalacja tam nie zadowoli klienta, który szuka w magazynie użytkownika. Przy uwierzytelnianiu certyfikatem brama ma tylko klucz publiczny korzenia, a każde urządzenie potrzebuje własnego certyfikatu wydanego z tego korzenia. Certyfikat skopiowany z innej maszyny zwykle przychodzi bez swojego klucza prywatnego, co daje wpis, który można wybrać, ale którym nadal nie można się uwierzytelnić.

Pusty selektor to problem magazynu, nie tunelu.

Uwierzytelnianie certyfikatem lub Azure AD: różne kształty błędu

Dla uwierzytelniania Azure AD konfiguracja punkt-lokacja potrzebuje adresu URL dzierżawy, identyfikatora aplikacji Azure VPN Client jako odbiorcy i wystawcy STS, a administrator musi wyrazić zgodę dla aplikacji Azure VPN. Zapisz tę konfigurację, pobierz pakiet ponownie i zaimportuj nowy plik zamiast używać starszej kopii.

Potwierdź też, że pula adresów klienta nie pokrywa się z siecią wirtualną ani zakresem lokalnym i że grupa zabezpieczeń sieci maszyny docelowej zezwala na tę pulę. Te dwa błędy przetrwają każdą naprawę po stronie klienta.

Strona laptopa czy strona bramy

Nie oceniaj tunelu po sprawdzeniu adresu publicznego. Połączenie punkt-lokacja nie wysyła całego ruchu internetowego do Azure, więc niezmieniony adres publiczny jest oczekiwany, gdy tunel działa poprawnie. Zamiast tego przetestuj adres prywatny w sieci wirtualnej i odczytaj trasy efektywne na maszynie.

Zapisz, który krok przywrócił połączenie, wersję klienta, datę pobrania profilu i to, czy poświadczenie dostarczył certyfikat, czy dostawca tożsamości. Ten zapis zamienia następne zdarzenie w kontrolę na dwie minuty i pokazuje, czy błędy przesuwają się w stronę bramy, zamiast pozostawać na laptopie.

Kolejność pracy: zaimportuj ponownie aktualny profil, uruchom ponownie RasMan, zezwól na działanie w tle, napraw pakiet i zresetuj tylko wtedy, gdy magazyn certyfikatów jest potwierdzony jako nienaruszony.