AnyConnect сообщает, что служба VPN недоступна: исправление в Windows

Диалог появляется в тот момент, когда вы нажимаете Connect, ещё до запроса учётных данных, и сообщает, что служба VPN недоступна. С машины пока ничего не ушло. Окно AnyConnect разговаривает с локальной службой Windows, и когда этот разговор ломается, клиент сдаётся, не успев даже назвать шлюз. Этот порядок — самая полезная подсказка во всём сообщении: вы отлаживаете службу и драйвер, а не сертификат или правило брандмауэра на той стороне. Вот порядок, по которому я иду, самая дешёвая проверка первой.

Диалог появляется раньше обращения к шлюзу

Окно — тонкий фронтенд. Оно просит службу агента построить туннель, а эта служба владеет адаптером, изменениями маршрутизации и хранилищем профилей. Если служба отсутствует, остановлена или заблокирована, фронтенду не с кем говорить, и он сообщает именно это.

Практическое следствие простое: нет имени сервера, нет запроса учётных данных, нет ошибки сертификата. Если вы видите что-то из этого, прекратите читать и посмотрите на туннель.

Сначала проверьте службу агента

Откройте services.msc и найдите Cisco AnyConnect Secure Mobility Agent. Если тип запуска Disabled, поставьте Automatic и запустите. Служба, отключённая обновлением или оставленная после сбоя, часто запускается чисто один раз и остаётся работать. Если она снова умирает за секунды, запишите код ошибки и читайте дальше.

Две вспомогательные службы стоит посмотреть на упрямых машинах. Перезапуск Base Filtering Engine убирал это сообщение, когда драйвер фильтра заклинивало. Там, где был включён Internet Connection Sharing, отключение ICS давало тот же результат, потому что обе службы конкурируют за одну и ту же сетевую инфраструктуру.

На управляемом ноутбуке служба может быть отключена политикой намеренно, поэтому подтвердите у владельца устройства, прежде чем включать её снова.

Затем проверьте виртуальный адаптер

AnyConnect нужен собственный виртуальный адаптер, и отключённый даёт тот же диалог в некоторых сборках. Откройте Сетевые подключения, найдите запись Cisco AnyConnect Secure Mobility Client и включите её, если она серая. Та же панель решает и зависший случай: интерфейс в состоянии подключения обычно нельзя удалить из Параметров, но здесь его можно отключить и удалить.

Если адаптер отсутствует полностью, драйвер не установился. Это указывает на следующий раздел, а не на что-то, что можно переключить.

Когда перезапуск не держится

Оставшийся каталог установки может возвращать сломанное состояние при каждой загрузке. Удалите клиент, удалите папку Cisco AnyConnect в ProgramData, перезагрузитесь и установите ту же версию заново. Именно удаление этой папки очищает профили и фрагменты машинной политики, которые оставляет деинсталлятор. Более новая основная версия тоже может убрать сообщение, но только если ваш шлюз принимает эту версию клиента.

Пользователи macOS встречают ту же формулировку через другой компонент. Агент — это задание launchd, поэтому загрузите его и убедитесь, что приложению разрешено работать в фоне. В текущих выпусках этот переключатель находится в Login Items и Extensions, и приложение, выключенное там, запускается и затем падает именно с этим сообщением.

Когда причина — второй клиент VPN

Два клиента могут драться за драйверы фильтра и приоритет адаптера. Клиент Forti, установленный рядом со старым клиентом Cisco, оставлял людей подключёнными, но неспособными куда-либо попасть, и удаление неиспользуемого клиента восстанавливало работу. Рабочая альтернатива — явные маршруты для каждой подсети VPN, чтобы адреса каждого клиента попадали на правильный адаптер, а не зависели от порядка метрик.

Если оба клиента должны остаться, решите маршруты осознанно и запишите их. Угадывание метрик ломается при следующем обновлении.

Порядок исправления, не требующий двух переустановок

Перед переустановкой сохраните журнал агента. Сообщение покрывает несколько разных сбоев, и журнал — единственное, что различает их задним числом. Затем выполните этот порядок и остановитесь на первом шаге, который изменит поведение:

• Служба агента есть, тип запуска Automatic, работает до старта GUI.
• Виртуальный адаптер включён в Сетевых подключениях, ни один интерфейс не завис в состоянии подключения.
• Internet Connection Sharing отключён, Base Filtering Engine в порядке.
• Папка ProgramData удалена перед переустановкой, та же версия установлена заново.
• Нет второго клиента VPN, держащего те же драйверы фильтра.

Если клиент завершается, не показав имени сервера или запроса учётных данных, в сети ни к чему не обращались. Четвёртая переустановка не найдёт причину, которую состояние службы показало бы вам за две минуты.