Виправлення Check Point VPN: зв’язок із службою VPN втрачено

Кнопка підключення нічого не робить, а клієнт повідомляє, що зв’язок зі службою VPN втрачено. Ця фраза про машину перед вами: службу за тунелем, віртуальний адаптер, на якому вона тримається, або інсталяцію, яка пов’язує ці дві. Ніщо в ній не вказує на шлюз, тому повторне введення адреси сайту чи облікового запису нічого не змінює. Прочитайте її як локальний збій, і простір пошуку звузиться.

Читайте помилку як локальний збій

Відмови з боку сервера звучать інакше: автентифікація не вдалася, шлюз недоступний, сертифікат недійсний. Втрата зв’язку зі службою означає, що клієнт не може достукатися до власного демона, а це виключає шлюз, облікові дані та правила міжмережевого екрана ще з першої години. Скопіюйте точне формулювання до нотаток, перш ніж будь-що чіпати, бо саме цей рядок відокремлює мертву службу від відмови за політикою.

Після цього залишаються лише три підозрювані: служби, драйвери та інсталятор.

Запустіть кожну службу Check Point, а не лише одну

Відкрийте services.msc і прочитайте кожен запис Check Point, а не лише той, чиє ім’я фігурує в помилці. Інсталяція Endpoint Security VPN реєструє кілька, і одного зупиненого або вимкненого запису достатньо, щоб клієнт не підключився. Запустіть усі, потім ті, від яких залежить клієнт, переведіть із ручного режиму в автоматичний, бо ручна служба, що падає на запит, відтворює помилку точно.

Ланцюг залежностей важливий не менше самих служб.

DHCP Client видає віртуальному адаптеру його адресу й сам спирається на три складники: Network Store Interface Service, драйвер NetIO legacy TDI і Ancillary Function Driver for Winsock. Зупиніть DHCP Client, і служба VPN може запуститися чисто, хоча адаптер ще не має адреси. Оновлення функцій — повторюваний тригер, бо вони можуть тихо повернути сторонню службу в ручний або вимкнений режим. Після такого оновлення запитайте тип запуску, замість того щоб вирішувати, ніби інсталяція пошкоджена.

Get-Service -Name "Check*" | Format-Table -AutoSize Name, Status, StartType
Get-Service -Name Dhcp | Format-Table -AutoSize Name, Status, StartType

Перевірте прив’язку адаптера перед переінсталяцією

Коли служби працюють, а повідомлення лишається, подивіться на адаптер. Адаптер може бути наявним і все одно зламаним, зазвичай тому що драйвер, до якого він прив’язаний, не пережив оновлення. Вимкнути й увімкнути його знову — дешева перевірка, а диспетчер пристроїв потребує зміни одного параметра, перш ніж пристрій узагалі стане видимим.

set devmgr_show_nonpresent_devices=1
start devmgmt.msc

У меню View виберіть Show hidden devices, відкрийте Network adapters і знайдіть віртуальний адаптер Check Point. Вимкніть і ввімкніть його знову, потім спробуйте підключення. Значок попередження або повна відсутність запису означає, що драйвер зник, а не призупинений.

Виправте інсталяцію замість її видалення

У Programs and Features клацніть правою кнопкою на Check Point Endpoint Security VPN і виберіть Repair. Цей один прохід заново реєструє і службу, і адаптер, а конфігурацію сайту лишає на місці. Інсталяція з нуля після видалення відкидає цю конфігурацію і зазвичай коштує одного зайвого перезавантаження.

Якщо Repair зупиняється на півдорозі, журнал інсталяції називає компонент, який відмовив. Після завершення перевірте, що повернулися і служба, і адаптер, перш ніж підключатися знову; адаптер, який досі несе значок попередження, означає, що пакет драйвера так і не було переінстальовано, і сам Repair цього не виправить.

Відокремте проблему мережевого шляху від проблеми клієнта

Не кожен випадок локальний. Корпоративна LAN, яка жене трафік через проксі з автентифікацією, може не дати клієнту дійти до шлюзу, тоді як той самий ноутбук чудово підключається через точку доступу телефона. Якщо точка доступу працює, клієнт здоровий, і проблема в шляху через проксі.

Налаштування BIOS, яке автоматично перемикає мережеві адаптери, теж може підмінити з’єднання під клієнтом. Вимкніть його лише там, де машина справді пропонує цей варіант, бо більшість ноутбуків його не пропонує.

Підключіться і переконайтеся, що адаптер тунелю отримав адресу, а служби лишилися працювати, перш ніж закрити справу.

ipconfig /all
Get-Service -Name "Check*" | Format-Table -AutoSize Name, Status

Тунель, який тримається хвилину й потім помирає, зазвичай указує на адаптер або на продукт безпеки, що його перевіряє, а не на обліковий запис. Заплануйте одне перезавантаження після виправлення драйвера або MSI, бо саме воно перебудовує прив’язку, і запишіть справні типи запуску, поки все працює, щоб наступному оновленню було з чим порівняти.