Khắc phục lỗi AnyConnect „không khởi tạo được hệ thống con kết nối“

Bạn bấm Kết nối và hộp thoại trả lời gần như ngay lập tức: không khởi tạo được hệ thống con kết nối. Không có gì đến được cổng, nên phía bên kia không có trao đổi chứng chỉ, không có thông tin đăng nhập và không có chọn nhóm đường hầm. Điều đó có nghĩa là nhật ký của bộ tập trung sẽ hiển thị một phiên trống và bộ phận trợ giúp sẽ yêu cầu ảnh chụp hộp thoại vốn chưa bao giờ chứa thông tin hữu ích nào. Thay vào đó hãy xử lý điểm cuối, theo một thứ tự cố định, và dừng ở bước đầu tiên làm thay đổi kết quả.

Thời điểm là bằng chứng giá trị nhất bạn có, và ghi lại nó không tốn gì. Hãy ghi xem lỗi xuất hiện trước hay sau khi được yêu cầu thông tin đăng nhập, và nó bắt đầu sau một bản nâng cấp, bản cập nhật Windows hay một agent bảo mật mới. Ba câu trả lời đó thường thu hẹp một nửa danh sách ứng viên trước khi bạn chạm vào bất kỳ cài đặt nào.

Đọc thời điểm trước khi thay đổi bất cứ thứ gì

Ba điểm thất bại trông giống nhau và không giống nhau. Nếu hộp thoại xuất hiện ngay khi bạn bấm Kết nối, client không khởi động được hạ tầng của chính nó, và đó là điều thông báo này chỉ ra. Nếu nó xuất hiện sau khi bạn gõ thông tin đăng nhập, nhóm đường hầm đã được tiếp cận và vấn đề nằm xa hơn. Nếu đường hầm lên rồi lại rớt, hệ thống con đã khởi tạo tốt và bạn đang đuổi theo một lỗi hoàn toàn khác. Nhầm lẫn ba trường hợp này làm mất cả một buổi chiều cho những lần cài lại không thể giúp gì.

Chỉ trường hợp đầu tiên thuộc về đây. Thông báo được tạo trước mọi quyết định mạng, nên địa chỉ cổng sai, chứng chỉ hết hạn hay mật khẩu tồi sẽ không tạo ra nó.

Bước 1: xác nhận dịch vụ agent đang chạy

Cửa sổ bạn bấm vào chỉ là phần giao diện; công việc diễn ra trong dịch vụ Cisco AnyConnect Secure Mobility Agent, được đăng ký là vpnagent. Nếu dịch vụ đó đã dừng hoặc bị vô hiệu hóa, giao diện đồ họa không có gì để nói chuyện và báo cáo đúng lỗi khởi tạo này. Kiểm tra trạng thái và kiểu khởi động từ dấu nhắc PowerShell có quyền nâng cao:

Get-Service vpnagent | Select-Object Name, Status, StartType
sc.exe qc vpnagent
net start vpnagent

Trình cài đặt tôn trọng kiểu khởi động thủ công trước đó là lý do thường gặp khiến dịch vụ bị vô hiệu hóa, nên hãy kiểm tra StartType thay vì chỉ bấm Start. Nếu dịch vụ khởi động rồi dừng trong vài giây, hãy đọc nhật ký System để tìm các mục Service Control Manager trước khi bấm Repair:

Get-WinEvent -FilterHashtable @{LogName="System"; ProviderName="Service Control Manager"} -MaxEvents 40

Một trình điều khiển bị chặn, tệp bị cách ly hoặc trình điều khiển lọc từ sản phẩm bảo mật bên thứ ba sẽ tự nêu tên trong các sự kiện đó. Repair cài đè lên đúng tệp bị chặn đó và không thay đổi gì, vì vậy nhật ký sự kiện phải được xem trước.

Bước 2: xóa trạng thái ngoại tuyến mà ngăn xếp HTTP báo cáo

Client tải hồ sơ và đánh giá chính sách qua các thành phần HTTP của Windows, nên một cờ ngoại tuyến được đặt trong cài đặt internet của người dùng có thể phá vỡ quá trình khởi tạo trong khi mọi trình duyệt vẫn tải trang. Kiểm tra giá trị trực tiếp:

Get-ItemProperty "HKCU:\Software\Microsoft\Windows\CurrentVersion\Internet Settings" -Name GlobalUserOffline

Giá trị 1 nghĩa là ngăn xếp WinINet đang báo cho bên gọi rằng máy không có kết nối; trạng thái này thường do mục menu Làm việc ngoại tuyến trong Internet Explorer hoặc một script tự động hóa đặt. Đặt lại thành 0, đăng xuất rồi đăng nhập lại, và thử kết nối lại trước khi thay đổi bất cứ điều gì khác.

Nếu bạn thừa hưởng chiếc máy này và không biết vì sao cờ được đặt, hãy ghi vào phiếu. Một thứ khác trên máy có thể đã cố ý đặt nó, và nó sẽ quay lại ở lần đăng nhập tiếp theo.

Bước 3: giải phóng bộ điều hợp ảo khỏi Hyper-V hoặc ICS

Hai vai trò của Windows có thể giữ những thành phần mà client cần để tạo bộ điều hợp của nó. Hyper-V là vai trò đầu tiên: khi các dịch vụ switch ảo chạy, việc tạo bộ điều hợp có thể thất bại theo cách biểu hiện thành lỗi này. Dừng các dịch vụ là chẩn đoán, không phải cách sửa:

Get-Service vmms, vmcompute | Stop-Service
Get-NetAdapter | Where-Object InterfaceDescription -like "*Hyper-V*"

Nếu client kết nối được khi các dịch vụ đó dừng, xung đột đã được xác nhận và giờ bạn biết cần thương lượng gì với chủ máy chủ Hyper-V. Hãy khởi động lại chúng sau đó trừ khi máy không còn cần ảo hóa.

Chia sẻ kết nối Internet là chủ sở hữu thứ hai. Nếu một kết nối đang được chia sẻ, client có thể thất bại trước cả khi tạo đường hầm. Xác nhận bằng Get-Service SharedAccess và, nếu nó đang chạy và đặt ở chế độ tự động, hãy xem qua các bộ điều hợp để tìm kết nối được chia sẻ và chỉ tắt chia sẻ trên bộ điều hợp đó.

Cũng có một lời giải thích rẻ hơn cần loại trừ trước. Một máy hoàn toàn không có truy cập internet hoạt động thường hiển thị thông báo này thay vì lỗi không thể tiếp cận, nên hãy xác nhận rằng Test-NetConnection tới địa chỉ cổng và tới một máy chủ công cộng đều thành công trước khi đổ lỗi cho client.

Xác minh, rồi hoàn nguyên những gì bạn không cần

Xác minh không phải là chiếc khiên xanh trong khay hệ thống. Hãy xác nhận bộ điều hợp tồn tại, có địa chỉ và truyền được lưu lượng: Get-NetAdapter -Name "Cisco AnyConnect*" sẽ hiển thị nó đang hoạt động, ipconfig /all sẽ hiển thị địa chỉ được cấp và các máy chủ DNS, và một yêu cầu thực tới tên nội bộ sẽ được phân giải qua đường hầm chứ không qua bộ phân giải cục bộ.

Hãy giữ danh sách ngắn gọn của từng thay đổi, kèm giá trị bạn tìm thấy và giá trị bạn đặt. Nếu kết nối hoạt động sau bước ba, hãy khôi phục các dịch vụ Hyper-V và kiểm tra lại trước khi đóng phiếu, vì một cách lách âm thầm vô hiệu hóa ảo hóa sẽ bị người quản trị tiếp theo nhận ra và hoàn nguyên.

Nếu không bước nào trong ba bước làm thay đổi lỗi, hãy ngừng thay đổi điểm cuối. Thu thập phiên bản client, trạng thái dịch vụ, thời điểm ở đầu trang này và gói chẩn đoán mà client có thể tạo, rồi bàn giao chúng cùng thứ tự chính xác bạn đã thử. Gói đó có giá trị với kỹ sư tiếp theo hơn ảnh chụp hộp thoại, và là hiện vật duy nhất cho thấy hệ thống con thất bại trước hay sau khi chạm vào mạng.