Azure VPN Client: платформа VPN не запустила подключение

Строка состояния сообщает, что платформа VPN не запустила подключение, профиль импортируется без ошибок, а шлюз исправен для всех остальных. Это сообщение описывает передачу внутри Windows, а не отклонённые учётные данные, поэтому полезный порядок идёт от самого дешёвого изменения состояния к самому разрушительному. Повторный импорт профиля стоит минуту, восстановление пакета — перезагрузку, а сброс — все профили на машине. Работа в неправильном порядке уничтожает доказательства, нужные для различения этих случаев.

Повторный импорт, восстановление, сброс: три разные стоимости

Три действия не взаимозаменяемы, и только одно обратимо без труда. Повторный импорт обновляет профиль и сохраняет установку приложения. Восстановление сохраняет импортированные профили и перезаписывает файлы пакета. Сброс удаляет профили вместе с состоянием приложения, поэтому после него вы импортируете всё заново.

Начните со свежего скачивания azurevpnconfig.xml, когда изменились шлюз, пул адресов или метод проверки подлинности. Профиль, который ссылается на удалённый шлюз, даёт ровно эту строку состояния, и никакое восстановление клиента не исправит файл, указывающий на то, чего больше нет.

Перед любым разрушительным шагом проверьте, разрешено ли приложению работать в фоне: Параметры, Приложения, Установленные приложения, Azure VPN Client, Дополнительные параметры. Приостановленный клиент не может завершить передачу платформы.

RasMan — это служба, которой клиент передаёт управление

Remote Access Connection Manager превращает запрос клиента в подключение Windows. Перезапустите её из командной строки с повышенными правами командой net stop rasman и затем net start rasman, и подключитесь снова, прежде чем менять что-то ещё.

Если это восстановит подключение, задайте тип запуска, чтобы исправление пережило перезагрузку: sc.exe config rasman start= delayed-auto. Служба, которая сейчас работает, но отключена при загрузке, повторит тот же отказ завтра утром.

Следите за службой, которая запускается и затем останавливается сама. Такой образец указывает на зависимость или политику, а перезапуск будет держаться минуты, что хуже чистой ошибки, потому что выглядит как периодическая проблема сети. Проверьте журнал System на имя службы около времени попытки и убедитесь, что зависимости тоже работают.

Текущий пользователь или локальный компьютер: два хранилища сертификатов

Если клиент открывается с пустым списком сертификатов, виноват не профиль и не служба. Клиент читает личное хранилище текущего пользователя: откройте certmgr.msc, разверните Certificates, Current User, Personal, Certificates и убедитесь, что сертификат там с закрытым ключом.

Хранилище локального компьютера, открываемое через certlm.msc, — другое хранилище, и установка там не удовлетворяет клиента, который ищет в хранилище пользователя. При проверке подлинности сертификатом шлюз хранит только открытый ключ корня, и каждому устройству нужен собственный сертификат, выпущенный из этого корня. Сертификат, скопированный с другой машины, обычно приходит без своего закрытого ключа, что даёт запись, которую можно выбрать, но которой всё равно нельзя пройти проверку.

Пустой выбор — это проблема хранилища, а не туннеля.

Проверка подлинности сертификатом или Azure AD: разные формы отказа

Для проверки подлинности Azure AD конфигурации «точка — сайт» нужны URL клиента, идентификатор приложения Azure VPN Client в качестве аудитории и издатель STS, причём администратор должен дать согласие приложению Azure VPN. Сохраните эту конфигурацию, скачайте пакет заново и импортируйте новый файл вместо повторного использования старой копии.

Также убедитесь, что пул адресов клиента не пересекается с виртуальной сетью или локальным диапазоном и что группа безопасности сети целевой машины разрешает этот пул. Эти две ошибки переживают любое восстановление на стороне клиента.

Сторона ноутбука или сторона шлюза

Не судите о туннеле по проверке публичного адреса. Подключение «точка — сайт» не отправляет весь интернет-трафик в Azure, поэтому неизменённый публичный адрес ожидаем, пока туннель работает правильно. Вместо этого проверьте частный адрес внутри виртуальной сети и прочитайте действующие маршруты на машине.

Запишите, какой шаг восстановил подключение, версию клиента, дату скачивания профиля и что дало учётные данные — сертификат или поставщик удостоверений. Эта запись превращает следующий случай в проверку на две минуты и показывает, смещаются ли отказы к шлюзу, а не остаются на ноутбуке.

Порядок работы: повторно импортируйте актуальный профиль, перезапустите RasMan, разрешите фоновое выполнение, восстановите пакет и выполняйте сброс только если хранилище сертификатов подтверждено целым.