O AnyConnect diz que o serviço VPN não está disponível: correção no Windows

A caixa de diálogo aparece no momento em que você clica em Connect, antes de qualquer pedido de credenciais, e diz que o serviço VPN não está disponível. Nada saiu da máquina ainda. A janela do AnyConnect conversa com um serviço local do Windows, e quando essa conversa falha, o cliente desiste antes mesmo de nomear um gateway. Essa ordem é a pista mais útil de toda a mensagem: você está depurando um serviço e um driver, não um certificado ou uma regra de firewall do outro lado. Esta é a ordem que eu sigo, a verificação mais barata primeiro.

A caixa aparece antes de o gateway ser contatado

A janela é um frontend fino. Ela pede ao serviço do agente que construa o túnel, e esse serviço é dono do adaptador, das mudanças de roteamento e do armazenamento de perfis. Se o serviço está ausente, parado ou bloqueado, o frontend não tem com quem falar e relata exatamente isto.

A consequência prática é simples: sem nome de servidor, sem pedido de credenciais, sem erro de certificado. Se você vir algum desses, pare de ler isto e olhe para o túnel.

Verifique o serviço do agente antes de tudo

Abra services.msc e encontre o Cisco AnyConnect Secure Mobility Agent. Se o tipo de inicialização for Disabled, defina como Automatic e inicie. Um serviço desativado por uma atualização ou deixado por um travamento muitas vezes inicia limpo uma vez e continua. Se ele morrer de novo em segundos, anote o código de erro e continue lendo.

Dois serviços auxiliares merecem uma olhada em máquinas teimosas. Reiniciar o Base Filtering Engine já removeu esta mensagem quando o driver de filtro estava travado. Onde o Internet Connection Sharing estava ativado, desligar o ICS fez o mesmo, porque os dois competem pela mesma infraestrutura de rede.

Em um notebook gerenciado, o serviço pode estar desativado por política de propósito, então confirme com quem é dono do dispositivo antes de reativá-lo.

Depois verifique o adaptador virtual

O AnyConnect precisa do seu próprio adaptador virtual, e um adaptador desativado produz a mesma caixa em algumas compilações. Abra Conexões de Rede, encontre a entrada Cisco AnyConnect Secure Mobility Client e ative-a se estiver cinza. O mesmo painel resolve o caso travado: uma interface no estado de conexão normalmente não pode ser removida de Configurações, mas aqui pode ser desativada e excluída.

Se o adaptador não existe de jeito nenhum, o driver não foi instalado. Isso aponta para a seção seguinte e não para algo que você possa alternar.

Quando um reinício não se sustenta

Um diretório de instalação residual pode restaurar o estado quebrado a cada inicialização. Desinstale o cliente, exclua a pasta Cisco AnyConnect em ProgramData, reinicie e depois reinstale a mesma versão. É a remoção dessa pasta que limpa perfis e fragmentos de política da máquina que o desinstalador deixa para trás. Uma versão principal mais nova também pode remover a mensagem, mas só se o seu gateway aceitar essa versão de cliente.

Usuários de macOS encontram a mesma formulação por meio de outro componente. O agente é uma tarefa launchd, então carregue-a e confirme que o aplicativo pode rodar em segundo plano. Nas versões atuais esse interruptor fica em Login Items e Extensions, e um aplicativo desligado ali inicia e depois falha com exatamente esta mensagem.

Quando a causa é um segundo cliente VPN

Dois clientes podem brigar por drivers de filtro e prioridade de adaptador. Um cliente Forti instalado ao lado de um cliente Cisco mais antigo deixou pessoas conectadas mas incapazes de alcançar qualquer coisa, e remover o cliente não usado restaurou o serviço. A alternativa viável são rotas explícitas por sub-rede VPN, para que os endereços de cada cliente caiam no adaptador correto em vez de depender da ordem das métricas.

Se ambos os clientes precisam ficar, decida as rotas deliberadamente e anote-as. Adivinhar métricas quebra na próxima atualização.

Uma ordem de reparo que não exige duas reinstalações

Antes de reinstalar, capture o log do agente. A mensagem cobre várias falhas distintas, e o log é a única coisa que as separa depois do fato. Em seguida, execute esta ordem e pare no primeiro passo que mudar o comportamento:

• Serviço do agente presente, tipo de inicialização Automatic, em execução antes de a GUI iniciar.
• Adaptador virtual ativado em Conexões de Rede, nenhuma interface presa no estado de conexão.
• Internet Connection Sharing desligado, Base Filtering Engine saudável.
• Pasta ProgramData removida antes de uma reinstalação, mesma versão reinstalada.
• Nenhum segundo cliente VPN segurando os mesmos drivers de filtro.

Se o cliente encerrar antes de mostrar um nome de servidor ou um pedido de credenciais, nada na rede foi contatado. Uma quarta reinstalação não vai encontrar uma causa que um estado de serviço teria mostrado em dois minutos.