Oprava chyby AnyConnect „nepodarilo sa inicializovať podsystém pripojenia“

Kliknete na Pripojiť a dialóg odpovie takmer okamžite: nepodarilo sa inicializovať podsystém pripojenia. K bráne sa nič nedostalo, takže na druhej strane nie je výmena certifikátov, prihlasovacie údaje ani výber skupiny tunela. Znamená to, že protokoly koncentrátora ukážu prázdnu reláciu a helpdesk bude žiadať snímku dialógu, ktorý nikdy neobsahoval nič užitočné. Pracujte radšej na koncovom bode, v pevnom poradí, a zastavte sa pri prvom kroku, ktorý zmení výsledok.

Časovanie je najcennejší dôkaz, ktorý máte, a jeho zaznamenanie nič nestojí. Zapíšte, či sa chyba objavila pred výzvou na zadanie údajov alebo po nej, a či začala po upgrade, aktualizácii Windows alebo novom bezpečnostnom agentovi. Tieto tri odpovede zvyčajne skrátia zoznam kandidátov na polovicu, skôr než sa dotknete akéhokoľvek nastavenia.

Prečítajte si časovanie, kým čokoľvek zmeníte

Tri miesta zlyhania vyzerajú podobne a nie sú. Ak sa dialóg objaví v okamihu stlačenia Pripojiť, klient nedokázal spustiť vlastnú infraštruktúru, a práve na to tento text poukazuje. Ak sa objaví po zadaní údajov, skupina tunela bola dosiahnutá a problém je ďalej. Ak sa tunel zdvihne a potom spadne, podsystém sa inicializoval správne a vy naháňate úplne inú chybu. Zámena týchto troch prípadov stojí popoludnie na preinštalovaniach, ktoré nemôžu pomôcť.

Sem patrí iba prvý prípad. Správa vzniká skôr, než padne akékoľvek sieťové rozhodnutie, takže nesprávna adresa brány, prepadnutý certifikát alebo zlé heslo ju nevyvolajú.

Krok 1: overte, že služba agenta beží

Okno, na ktoré klikáte, je len čelné rozhranie; práca prebieha v službe Cisco AnyConnect Secure Mobility Agent, registrovanej ako vpnagent. Ak je táto služba zastavená alebo zakázaná, grafické rozhranie nemá sa s kým rozprávať a hlási presne toto zlyhanie inicializácie. Skontrolujte stav a typ spustenia z príkazového riadka PowerShell so zvýšenými právami:

Get-Service vpnagent | Select-Object Name, Status, StartType
sc.exe qc vpnagent
net start vpnagent

Inštalátor, ktorý rešpektoval predtým ručne nastavený typ spustenia, je obvyklým dôvodom, prečo to skončí zakázané, preto skontrolujte StartType namiesto toho, aby ste len stlačili Start. Ak sa služba spustí a do niekoľkých sekúnd zastaví, prečítajte si v protokole System záznamy Service Control Managera predtým, než kliknete na Opraviť:

Get-WinEvent -FilterHashtable @{LogName="System"; ProviderName="Service Control Manager"} -MaxEvents 40

Blokovaný ovládač, súbor v karanténe alebo filtrovací ovládač bezpečnostného produktu tretej strany sa v tých udalostiach pomenuje. Oprava preinštaluje cez ten istý blokovaný súbor a nič nezmení, a preto protokol udalostí ide prvý.

Krok 2: zrušte offline stav, ktorý hlási zásobník HTTP

Klient sťahuje profil a vyhodnocuje politiky cez komponenty HTTP v systéme Windows, takže príznak offline nastavený v internetových nastaveniach používateľa môže zlomiť inicializáciu, zatiaľ čo každý prehliadač ďalej načítava stránky. Skontrolujte hodnotu priamo:

Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name GlobalUserOffline

Hodnota 1 znamená, že zásobník WinINet oznamuje volajúcim, že počítač nemá pripojenie; tento stav zvyčajne nastavuje položka ponuky Pracovať offline v programe Internet Explorer alebo automatizačný skript. Vráťte ju na 0, odhláste sa a znova prihláste a pripojenie skúste znova, kým zmeníte čokoľvek iné.

Ak ste tento počítač zdedili a neviete povedať, prečo bol príznak nastavený, poznamenajte to do tiketu. Niečo iné na počítači ho mohlo nastaviť zámerne a pri ďalšom prihlásení sa vráti.

Krok 3: uvoľnite virtuálny adaptér od Hyper-V alebo ICS

Dve roly systému Windows môžu držať časti, ktoré klient potrebuje na vytvorenie adaptéra. Hyper-V je prvý: keď bežia služby virtuálneho prepínača, vytvorenie adaptéra môže zlyhať spôsobmi, ktoré sa prejavia ako táto chyba. Zastavenie služieb je diagnostika, nie oprava:

Get-Service vmms, vmcompute | Stop-Service
Get-NetAdapter | Where-Object InterfaceDescription -like "*Hyper-V*"

Ak sa klient pripojí so zastavenými službami, konflikt je potvrdený a teraz viete, o čom rokovať s vlastníkom hostiteľa Hyper-V. Potom ich reštartujte, ak počítač už nepotrebuje virtualizáciu.

Zdieľanie pripojenia na internet je druhým vlastníkom. Ak sa nejaké pripojenie zdieľa, klient môže zlyhať skôr, než vôbec vytvorí tunel. Overte to pomocou Get-Service SharedAccess a ak beží a je nastavené na automaticky, prejdite adaptéry a nájdite zdieľané pripojenie a vypnite zdieľanie iba na tomto adaptéri.

Existuje aj lacnejšie vysvetlenie, ktoré treba vylúčiť ako prvé. Počítač bez akéhokoľvek funkčného prístupu na internet často zobrazí túto správu namiesto chyby dostupnosti, preto overte, že Test-NetConnection k adrese brány aj k verejnému hostiteľovi uspeje, kým obviníte klienta.

Overte a potom vráťte späť, čo nebolo potrebné

Overenie nie je zelený štít v oblasti oznámení. Overte, že adaptér existuje, má adresu a prepúšťa prevádzku: Get-NetAdapter -Name "Cisco AnyConnect*" by ho mal ukázať ako aktívny, ipconfig /all by mal ukázať pridelenú adresu a servery DNS, a skutočná požiadavka na interné meno by sa mala vyriešiť cez tunel, nie cez miestny resolver.

Veďte si krátky zoznam každej zmeny s nájdenou a nastavenou hodnotou. Ak pripojenie po treťom kroku funguje, obnovte služby Hyper-V a pred zatvorením tiketu to znova otestujte, pretože obchádzku, ktorá potichu vypína virtualizáciu, zruší ďalší správca, ktorý si to všimne.

Ak žiadny z troch krokov chybou nepohne, prestaňte meniť koncový bod. Zozbierajte verziu klienta, stav služby, časovanie z hornej časti tejto stránky a diagnostický balík, ktorý klient dokáže vytvoriť, a odovzdajte ich s presným poradím, ktoré ste skúsili. Ten balík má pre ďalšieho inžiniera väčšiu cenu ako snímka dialógu a je jediným artefaktom, ktorý ukazuje, či podsystém zlyhal predtým alebo potom, ako sa dotkol siete.