Azure VPN Client: VPN-plattformen startade inte anslutningen

Statusraden säger att VPN-plattformen inte startade anslutningen, profilen importeras utan klagomål och gatewayen är frisk för alla andra. Meddelandet beskriver en överlämning inuti Windows, inte en avvisad autentiseringsuppgift, så den användbara ordningen går från den billigaste tillståndsändringen till den mest destruktiva. Omimport av en profil kostar en minut, reparation av paketet kostar en omstart och återställning kostar varje profil på datorn. Att arbeta i fel ordning förstör bevisen du behöver för att skilja dessa fall åt.

Omimport, reparation, återställning: tre olika kostnader

De tre åtgärderna är inte utbytbara och bara en är återkallelig utan arbete. Omimport fräscha upp profilen och behåller appinstallationen. Reparation behåller de importerade profilerna och skriver om paketfilerna. Återställning tar bort profilerna tillsammans med appens tillstånd, så du importerar allt igen efteråt.

Börja med en färsk nedladdning av azurevpnconfig.xml när gatewayen, adresspoolen eller autentiseringsmetoden har ändrats. En profil som namnger en borttagen gateway ger exakt denna statusrad, och ingen klientreparation åtgärdar en fil som pekar på något som inte längre finns.

Innan något destruktivt steg, kontrollera att appen får köras i bakgrunden: Inställningar, Appar, Installerade appar, Azure VPN Client, Avancerade alternativ. En pausad klient kan inte slutföra plattformens överlämning.

RasMan är tjänsten som klienten lämnar över till

Remote Access Connection Manager gör om en klientbegäran till en Windows-anslutning. Starta om den från en upphöjd kommandotolk med net stop rasman och sedan net start rasman, och anslut igen innan du ändrar något annat.

Om det återställer anslutningen, ställ in starttypen så att åtgärden överlever en omstart: sc.exe config rasman start= delayed-auto. En tjänst som körs nu men är inaktiverad vid start upprepar samma fel i morgon bitti.

Håll utkik efter en tjänst som startar och sedan stoppar av sig själv. Det mönstret pekar på ett beroende eller en policy, och en omstart håller bara några minuter, vilket är värre än ett rent fel eftersom det ser ut som ett intermittent nätverksproblem. Kontrollera System-loggen efter tjänstens namn kring försöket och bekräfta att beroendena också körs.

Aktuell användare eller lokal dator: två certifikatarkiv

Om klienten öppnas med en tom certifikatlista är det inte profilens fel och inte tjänstens heller. Klienten läser den aktuella användarens personliga arkiv: öppna certmgr.msc, expandera Certificates, Current User, Personal, Certificates och bekräfta att certifikatet finns där med en privat nyckel.

Den lokala datorns arkiv som öppnas med certlm.msc är ett annat arkiv, och installation där tillfredsställer inte en klient som letar i användararkivet. Med certifikatautentisering har gatewayen bara rotens offentliga nyckel, och varje enhet behöver sitt eget certifikat utfärdat från den roten. Ett certifikat som kopierats från en annan dator kommer vanligen utan sin privata nyckel, vilket ger en post du kan välja men fortfarande inte kan autentisera.

En tom väljare är ett lagringsproblem, inte ett tunnelproblem.

Certifikatautentisering eller Azure AD: olika felformer

För Azure AD-autentisering behöver punkt-till-plats-konfigurationen klientorganisationens URL, program-ID för Azure VPN Client som målgrupp och STS-utfärdaren, där en administratör ger samtycke till Azure VPN-programmet. Spara konfigurationen, ladda ner paketet igen och importera den nya filen i stället för att återanvända en äldre kopia.

Bekräfta också att klientens adresspool inte överlappar det virtuella nätverket eller ett lokalt intervall, och att nätverkssäkerhetsgruppen för måldatorn tillåter poolen. De två felen överlever varje reparation på klientsidan.

Bärbara sidan eller gatewaysidan

Bedöm inte tunneln efter en kontroll av offentlig adress. En punkt-till-plats-anslutning skickar inte all internettrafik till Azure, så en oförändrad offentlig adress är förväntad medan tunneln fungerar korrekt. Testa i stället en privat adress i det virtuella nätverket och läs de effektiva rutterna på datorn.

Skriv ned vilket steg som återställde anslutningen, klientversionen, nedladdningsdatumet för profilen och om ett certifikat eller identitetsleverantören gav autentiseringsuppgiften. Den anteckningen gör nästa fall till en kontroll på två minuter, och den visar om felen driver mot gatewayen i stället för att stanna på den bärbara datorn.

Arbetsordning: importera en aktuell profil igen, starta om RasMan, tillåt körning i bakgrunden, reparera paketet och återställ bara om certifikatarkivet bekräftats intakt.