Исправление Check Point VPN: связь со службой VPN потеряна

Кнопка подключения ничего не делает, а клиент сообщает, что связь со службой VPN потеряна. Эта фраза про машину перед вами: службу за туннелем, виртуальный адаптер, на котором она держится, или установку, которая связывает эти два. Ничто в ней не указывает на шлюз, поэтому повторный ввод адреса сайта или учётной записи ничего не меняет. Прочитайте её как локальный сбой, и пространство поиска сузится.

Читайте ошибку как локальный сбой

Отказы на стороне сервера звучат иначе: аутентификация не прошла, шлюз недоступен, сертификат недействителен. Потеря связи со службой означает, что клиент не может достучаться до собственного демона, а это исключает шлюз, учётные данные и правила межсетевого экрана из первого часа. Скопируйте точную формулировку в заметки, прежде чем что-либо трогать, потому что именно эта строка отделяет мёртвую службу от отказа по политике.

После этого остаются только три подозреваемых: службы, драйверы и установщик.

Запустите каждую службу Check Point, а не только одну

Откройте services.msc и прочитайте каждую запись Check Point, а не только ту, чьё имя фигурирует в ошибке. Установка Endpoint Security VPN регистрирует несколько, и одной остановленной или отключённой записи достаточно, чтобы клиент не подключился. Запустите все, затем те, от которых зависит клиент, переведите из ручного режима в автоматический, потому что ручная служба, падающая по запросу, воспроизводит ошибку в точности.

Цепочка зависимостей важна не меньше самих служб.

DHCP Client выдаёт виртуальному адаптеру его адрес и сам опирается на три компонента: Network Store Interface Service, драйвер NetIO legacy TDI и Ancillary Function Driver for Winsock. Остановите DHCP Client, и служба VPN может запуститься чисто, хотя у адаптера ещё нет адреса. Обновления функций — повторяющийся триггер, потому что они могут тихо вернуть стороннюю службу в ручной или отключённый режим. После такого обновления запросите тип запуска, вместо того чтобы решать, что установка повреждена.

Get-Service -Name "Check*" | Format-Table -AutoSize Name, Status, StartType
Get-Service -Name Dhcp | Format-Table -AutoSize Name, Status, StartType

Проверьте привязку адаптера перед переустановкой

Когда службы работают, а сообщение остаётся, посмотрите на адаптер. Адаптер может присутствовать и всё равно быть сломанным, обычно потому, что драйвер, к которому он привязан, не пережил обновление. Отключить и снова включить его — дешёвая проверка, а диспетчеру устройств нужно изменить один параметр, прежде чем устройство вообще станет видимым.

set devmgr_show_nonpresent_devices=1
start devmgmt.msc

В меню View выберите Show hidden devices, откройте Network adapters и найдите виртуальный адаптер Check Point. Отключите и включите его снова, затем попробуйте подключиться. Значок предупреждения или полное отсутствие записи означает, что драйвер исчез, а не приостановлен.

Исправьте установку вместо её удаления

В Programs and Features щёлкните правой кнопкой по Check Point Endpoint Security VPN и выберите Repair. Этот один проход заново регистрирует и службу, и адаптер, оставляя конфигурацию сайта на месте. Установка с нуля после удаления выбрасывает эту конфигурацию и обычно стоит одной лишней перезагрузки.

Если Repair останавливается на полпути, журнал установки называет компонент, который отказал. После завершения проверьте, что вернулись и служба, и адаптер, прежде чем подключаться снова; адаптер, всё ещё несущий значок предупреждения, означает, что пакет драйвера так и не был переустановлен, и один Repair этого не исправит.

Отделите проблему сетевого пути от проблемы клиента

Не каждый случай локален. Корпоративная LAN, которая гонит трафик через прокси с аутентификацией, может не дать клиенту дойти до шлюза, тогда как тот же ноутбук прекрасно подключается через точку доступа телефона. Если точка доступа работает, клиент в порядке, и проблема в пути через прокси.

Настройка BIOS, которая автоматически переключает сетевые адаптеры, тоже может подменить подключение под клиентом. Отключайте её только там, где машина действительно предлагает этот вариант, поскольку большинство ноутбуков его не предлагает.

Подключитесь и убедитесь, что адаптер туннеля получил адрес, а службы остались работать, прежде чем закрывать обращение.

ipconfig /all
Get-Service -Name "Check*" | Format-Table -AutoSize Name, Status

Туннель, который держится минуту, а затем умирает, обычно указывает на адаптер или на продукт безопасности, который его проверяет, а не на учётную запись. Запланируйте одну перезагрузку после исправления драйвера или MSI, потому что именно она пересобирает привязку, и запишите исправные типы запуска, пока всё работает, чтобы следующему обновлению было с чем сравнивать.