Cisco AnyConnect: instalar el cliente y diagnosticar una VPN que no conecta

Qué vas a conseguir

Un usuario conectado a la VPN desde casa o desde un hotel, y un método para que el ticket "la VPN no me va" se resuelva en cinco minutos en lugar de media hora de pruebas al azar.

Cisco ha renombrado AnyConnect como Cisco Secure Client. El icono y los mensajes cambian un poco, pero los pasos son los mismos.

Antes de empezar

• El instalador que usa tu empresa (normalmente lo despliega Intune o SCCM, y en el equipo ya está). Si no, se descarga del portal de la propia VPN al conectarse por el navegador.
• La dirección del concentrador VPN (vpn.contoso.com) y el grupo o perfil que debe elegir el usuario.
• Cómo se autentica: usuario y contraseña de dominio, MFA con Authenticator, certificado de equipo, o una combinación.

1. Instalar y conectar

Cuando conecta, el icono de la bandeja muestra un candado cerrado. Pide al usuario que abra una unidad de red o la intranet para confirmar que el túnel funciona, no solo que dice "conectado".

2. Cuando no conecta: el orden

Haz las comprobaciones en este orden y para en la primera que falle. Cada una descarta una capa.

2.1 ¿Hay internet?

›ping -n 2 1.1.1.1Respuesta desde 1.1.1.1: bytes=32 tiempo=14ms TTL=57›nslookup vpn.contoso.comServidor:  UnKnownAddress:  192.168.1.1Respuesta no autoritativa:Nombre:  vpn.contoso.comAddress:  203.0.113.10

Sin respuesta al ping: es la red del usuario (wifi del hotel con portal cautivo, cable suelto, datos móviles sin cobertura). Si el ping va pero nslookup no resuelve, es DNS: que pruebe con los datos del móvil para confirmarlo.

2.2 ¿Se llega al concentrador?

Abre en el navegador https://vpn.contoso.com. Si aparece el portal de la VPN, la red y el DNS están bien y el problema está en el cliente o en las credenciales. Si el navegador avisa de certificado no válido, lo verá también el cliente: suele ser una red que intercepta TLS (wifi pública, proxy de hotel) o la hora del equipo mal puesta.

2.3 ¿Qué dice el cliente?

Los mensajes de Secure Client son más útiles de lo que parecen:

• Login failed: usuario o contraseña incorrectos, o la cuenta bloqueada o caducada en Active Directory. Compruébalo con Get-ADUser -Properties LockedOut, PasswordExpired.
• The VPN connection failed due to unsuccessful domain name resolution: DNS, vuelve al 2.1.
• Untrusted VPN Server certificate: el 2.2; en redes de hotel suele arreglarse conectando primero el móvil como punto de acceso.
• VPN establishment capability for a remote user is disabled: el usuario está en sesión remota (RDP) y la política no permite VPN desde ahí. Que lo haga desde el equipo físico.
• The VPN client agent was unable to create the interprocess communication depot o el cliente no abre: el servicio no arranca, ve al 2.4.
• Posture assessment failed o "tu equipo no cumple": el módulo de cumplimiento (ISE, HostScan) exige antivirus al día, disco cifrado o una versión mínima de Windows. El propio mensaje dice qué falta.

2.4 ¿Está bien el cliente?

›Get-Service -Name "csc_vpnagent","vpnagent" -ErrorAction SilentlyContinue | Select-Object Name, Status, StartTypeName         Status  StartType----         ------  ---------csc_vpnagent Running Automatic›Restart-Service csc_vpnagent# Adaptador virtual de la VPN: tiene que existir y no estar deshabilitado›Get-NetAdapter | Where-Object InterfaceDescription -like "Cisco AnyConnect*" | Select-Object Name, StatusName                      Status----                      ------Ethernet 3                Disabled›Enable-NetAdapter -Name "Ethernet 3"

Si el servicio no arranca o el adaptador no existe, reinstala el cliente: desinstalar desde Aplicaciones, reiniciar, instalar de nuevo. Muchas veces una actualización de Windows a medias deja el adaptador virtual a medio camino.

3. Conecta pero no llega a nada

• Con la VPN conectada, ipconfig /all tiene que mostrar el adaptador de la VPN con una IP del rango corporativo y los DNS internos.
• nslookup intranet.contoso.local debe resolver con el DNS interno. Si resuelve con el de casa, el cliente no ha cambiado los DNS: reconecta, y si sigue, es el perfil del concentrador (split-DNS) y toca escalar.
• Si solo falla una aplicación, pide la IP o el nombre y prueba Test-NetConnection servidor -Port 443. Si el puerto no responde con la VPN pero sí desde la oficina, es una regla del firewall para el rango VPN: escalar a redes con el nombre, el puerto y la hora de la prueba.

4. Qué poner en el ticket

Mensaje exacto del cliente, red desde la que conecta (casa, hotel, datos móviles), hora de la prueba, y el resultado de 2.1 y 2.2. Con eso, redes puede buscar en los logs del concentrador en un minuto. Si hay que escalar a Cisco, el DART (Diagnostics and Reporting Tool, en el menú del cliente) genera un paquete con todos los logs.

Siguientes pasos

• Documenta los mensajes de error y su causa en la base de conocimiento del service desk: cada uno que añades ahorra una escalada.
• Pide a redes el perfil XML del cliente para saber si usa split-tunnel y qué DNS empuja: así entiendes qué debería verse cuando conecta.
• En el Nivel 4 verás el concentrador por dentro: FortiGate y Cisco, perfiles, grupos y las reglas que deciden qué ve cada usuario.

¿Quieres practicarlo? Resuelve el ticket «Teletrabajo: la VPN no conecta» en SysAdmin Desks, gratis y en el navegador.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.