Azure VPN Client: platforma VPN nu a pornit conexiunea

Linia de stare spune că platforma VPN nu a pornit conexiunea, profilul se importă fără reclamații, iar gateway-ul este sănătos pentru toți ceilalți. Acel mesaj descrie o predare în interiorul Windows, nu o acreditare respinsă, așa că ordinea utilă merge de la cea mai ieftină schimbare de stare la cea mai distructivă. Reimportul unui profil costă un minut, repararea pachetului costă o repornire, iar resetarea costă toate profilele de pe mașină. Lucrul în ordinea greșită distruge dovezile de care aveți nevoie pentru a distinge aceste cazuri.

Reimport, reparare, resetare: trei costuri diferite

Cele trei acțiuni nu sunt interschimbabile și doar una este reversibilă fără muncă. Reimportul actualizează profilul și păstrează instalarea aplicației. Repararea păstrează profilele importate și rescrie fișierele pachetului. Resetarea elimină profilele împreună cu starea aplicației, așa că apoi reimportați totul.

Începeți cu o descărcare nouă de azurevpnconfig.xml ori de câte ori gateway-ul, pool-ul de adrese sau metoda de autentificare s-au schimbat. Un profil care numește un gateway șters produce exact această linie de stare, iar nicio reparare a clientului nu repară un fișier care indică ceva ce nu mai există.

Înainte de orice pas distructiv, verificați dacă aplicației i se permite să ruleze în fundal: Setări, Aplicații, Aplicații instalate, Azure VPN Client, Opțiuni avansate. Un client suspendat nu poate finaliza predarea platformei.

RasMan este serviciul căruia clientul îi predă

Remote Access Connection Manager transformă o cerere a clientului într-o conexiune Windows. Reporniți-l dintr-un prompt ridicat cu net stop rasman și apoi net start rasman, și reconectați-vă înainte de a schimba altceva.

Dacă asta restabilește conexiunea, setați tipul de pornire ca remedierea să supraviețuiască unei reporniri: sc.exe config rasman start= delayed-auto. Un serviciu care rulează acum dar este dezactivat la pornire reproduce aceeași defecțiune mâine dimineață.

Urmăriți un serviciu care pornește și apoi se oprește singur. Acest tipar indică o dependență sau o politică, iar repornirea va funcționa doar câteva minute, ceea ce e mai rău decât o defecțiune curată, pentru că pare o problemă de rețea intermitentă. Verificați în jurnalul System numele serviciului în jurul momentului încercării și confirmați că și dependențele rulează.

Utilizator curent sau computer local: două depozite de certificate

Dacă clientul se deschide cu o listă de certificate goală, vina nu este a profilului și nici a serviciului. Clientul citește depozitul personal al utilizatorului curent: deschideți certmgr.msc, extindeți Certificates, Current User, Personal, Certificates și confirmați că certificatul este acolo cu o cheie privată.

Depozitul computerului local deschis cu certlm.msc este alt depozit, iar instalarea acolo nu satisface un client care caută în depozitul utilizatorului. La autentificarea prin certificat, gateway-ul deține doar cheia publică a rădăcinii, iar fiecare dispozitiv are nevoie de propriul certificat emis din acea rădăcină. Un certificat copiat de pe altă mașină sosește de obicei fără cheia sa privată, ceea ce produce o intrare pe care o puteți selecta dar care tot nu se poate autentifica.

Un selector gol este o problemă a depozitului, nu a tunelului.

Autentificare prin certificat sau Azure AD: forme de eșec diferite

Pentru autentificarea Azure AD, configurația punct-la-locație are nevoie de URL-ul chiriașului, de ID-ul aplicației Azure VPN Client ca audiență și de emitentul STS, iar un administrator trebuie să acorde consimțământ aplicației Azure VPN. Salvați acea configurație, descărcați din nou pachetul și importați fișierul nou în loc să refolosiți o copie veche.

Confirmați și că pool-ul de adrese al clientului nu se suprapune cu rețeaua virtuală sau cu un interval local și că grupul de securitate de rețea al mașinii țintă permite pool-ul. Aceste două greșeli supraviețuiesc oricărei reparări pe partea clientului.

Partea laptopului sau partea gateway-ului

Nu judecați tunelul după o verificare a adresei publice. O conexiune punct-la-locație nu trimite tot traficul de internet către Azure, așa că o adresă publică neschimbată este de așteptat cât timp tunelul funcționează corect. Testați în schimb o adresă privată în rețeaua virtuală și citiți rutele efective pe mașină.

Notați ce pas a restabilit conexiunea, versiunea clientului, data descărcării profilului și dacă un certificat sau furnizorul de identitate a furnizat acreditarea. Acea consemnare transformă următoarea apariție într-o verificare de două minute și arată dacă eșecurile se deplasează spre gateway în loc să rămână pe laptop.

Ordinea de lucru: reimportați un profil actual, reporniți RasMan, permiteți execuția în fundal, reparați pachetul și resetați doar dacă depozitul de certificate este confirmat intact.