Naprawa Check Point VPN: utracono łączność z usługą VPN

Connect nic nie robi, a klient zgłasza, że utracono łączność z usługą VPN. To zdanie dotyczy maszyny przed tobą: usługi za tunelem, wirtualnego adaptera, na którym się opiera, albo instalacji, która wiąże oba. Nic w nim nie wskazuje na bramę, więc ponowne wpisanie adresu witryny lub konta niczego nie zmienia. Przeczytaj je jako awarię lokalną, a przestrzeń poszukiwań się zwęzi.

Czytaj błąd jako awarię lokalną

Odmowy po stronie serwera brzmią inaczej: uwierzytelnianie nie powiodło się, brama nieosiągalna, certyfikat nieprawidłowy. Utrata połączenia z usługą oznacza, że klient nie może dotrzeć do własnego demona, co wyklucza bramę, poświadczenia i reguły zapory już w pierwszej godzinie. Skopiuj dokładne brzmienie do notatek, zanim czegokolwiek dotkniesz, bo właśnie ten ciąg oddziela martwą usługę od odmowy wynikającej z polityki.

Potem zostają tylko trzy podejrzane elementy: usługi, sterowniki i instalator.

Uruchom każdą usługę Check Point, nie tylko jedną

Otwórz services.msc i przeczytaj każdy wpis Check Point, nie tylko ten, którego nazwa pojawia się w błędzie. Instalacja Endpoint Security VPN rejestruje kilka, a jeden zatrzymany lub wyłączony wpis wystarczy, by klient nie mógł się połączyć. Uruchom wszystkie, a następnie te, od których zależy klient, przenieś z trybu ręcznego na automatyczny, bo usługa ręczna, która zawodzi na żądanie, odtwarza błąd dokładnie.

Łańcuch zależności jest tak samo ważny jak same usługi.

DHCP Client przydziela wirtualnemu adapterowi jego adres i sam opiera się na trzech składnikach: Network Store Interface Service, sterowniku NetIO legacy TDI oraz Ancillary Function Driver for Winsock. Zatrzymaj DHCP Client, a usługa VPN może wystartować czysto, mimo że adapter nadal nie ma adresu. Aktualizacje funkcji są powracającym wyzwalaczem, ponieważ potrafią po cichu przywrócić usługę innej firmy do trybu ręcznego lub wyłączonego. Po takiej aktualizacji zapytaj o typ uruchomienia, zamiast uznawać instalację za uszkodzoną.

Get-Service -Name "Check*" | Format-Table -AutoSize Name, Status, StartType
Get-Service -Name Dhcp | Format-Table -AutoSize Name, Status, StartType

Sprawdź powiązanie adaptera przed ponowną instalacją

Gdy usługi działają, a komunikat się utrzymuje, spójrz na adapter. Adapter może istnieć i mimo to być zepsuty, zwykle dlatego, że sterownik, z którym się wiąże, nie przetrwał aktualizacji. Wyłączenie i ponowne włączenie to tani test, a Menedżer urządzeń wymaga zmiany jednego ustawienia, zanim urządzenie w ogóle będzie widoczne.

set devmgr_show_nonpresent_devices=1
start devmgmt.msc

W menu View wybierz Show hidden devices, otwórz Network adapters i znajdź wirtualny adapter Check Point. Wyłącz go i włącz ponownie, a następnie spróbuj połączenia. Odznaka ostrzeżenia albo brak wpisu oznacza, że sterownik zniknął, a nie że jest wstrzymany.

Napraw instalację zamiast ją usuwać

W Programs and Features kliknij prawym przyciskiem myszy Check Point Endpoint Security VPN i wybierz Repair. Ten jeden przebieg ponownie rejestruje usługę i adapter, zostawiając konfigurację witryny tam, gdzie jest. Instalacja od zera po odinstalowaniu wyrzuca tę konfigurację i zwykle kosztuje jeden niepotrzebny restart.

Jeśli Repair zatrzyma się w połowie, dziennik instalacji wskaże składnik, który odmówił. Po zakończeniu sprawdź, czy wróciły zarówno usługa, jak i adapter, zanim połączysz się ponownie; adapter wciąż z odznaką ostrzeżenia oznacza, że pakiet sterownika nigdy nie został ponownie zainstalowany, a sam Repair tego nie naprawi.

Oddziel problem ścieżki sieciowej od problemu klienta

Nie każdy przypadek jest lokalny. Firmowa sieć LAN, która przepuszcza ruch przez uwierzytelniające proxy, może uniemożliwić klientowi dotarcie do bramy, podczas gdy ten sam laptop łączy się dobrze przez hotspot telefonu. Jeśli hotspot działa, klient jest zdrowy, a problem leży po stronie ścieżki przez proxy.

Ustawienie BIOS-u, które automatycznie przełącza adaptery sieciowe, też może podmienić łącze pod klientem. Wyłączaj je tylko tam, gdzie maszyna naprawdę oferuje tę opcję, bo większość laptopów jej nie ma.

Połącz się i potwierdź, że adapter tunelu dostał adres, a usługi pozostały uruchomione, zanim zamkniesz sprawę.

ipconfig /all
Get-Service -Name "Check*" | Format-Table -AutoSize Name, Status

Tunel, który wytrzymuje minutę i potem ginie, zwykle wskazuje na adapter albo produkt bezpieczeństwa, który go sprawdza, a nie na konto. Zaplanuj jeden restart po naprawie sterownika lub MSI, bo to on odbudowuje powiązanie, i zapisz zdrowe typy uruchamiania, dopóki wszystko działa, żeby następna aktualizacja miała z czym porównać.