Cisco AnyConnect: resolver problemas de conexión VPN en tiendas, hoteles y viajes

Qué vas a conseguir

Resolver por teléfono los problemas de VPN de la gente que más la usa en retail: los jefes de área que visitan seis tiendas por semana y duermen en hoteles, y el personal de la oficina central que trabaja desde casa o desde un tren. Llaman desde un aparcamiento, con el portátil abierto sobre el capó y una reunión de ventas en diez minutos. No hay nadie de IT cerca, así que tienes que saber qué preguntar y qué pedir.

El cliente se llama hoy Cisco Secure Client (desde la versión 5); el módulo de VPN sigue siendo AnyConnect y los usuarios lo seguirán llamando así. Lo básico (instalar, conectar, el perfil) está en la guía del Nivel 1.

Antes de empezar

• Acceso de lectura a la cabecera VPN (el firewall o el concentrador) y a sus registros de sesión, o alguien de redes localizable.
• El método de autenticación: usuario y contraseña con MFA, certificado de equipo, o ambos.
• La política de túnel: completo (todo el tráfico va a la oficina) o dividido (solo las redes internas). Cambia por completo el diagnóstico.
• Saber cómo llegan las tiendas a la central: si la red de tienda ya está unida a la oficina por SD-WAN o un túnel entre sedes, en tienda no hace falta la VPN de usuario.

1. Las redes desde las que se conecta la gente

Si la VPN funciona con el punto de acceso del móvil y no con la Wi-Fi del sitio, el problema es esa red. Es la prueba más rápida y se hace en dos minutos.

2. Portales cautivos y Wi-Fi de hotel

• Con un portal cautivo pendiente, Secure Client avisa de que el proveedor de la red está restringiendo el acceso a Internet y no conecta. El usuario abre el navegador, acepta las condiciones o mete el número de habitación y vuelve a conectar.
• Si la política es Always-On (la VPN debe estar siempre activa), el perfil tiene que permitir la corrección de portal cautivo; si no, el portátil no puede ni abrir la página del hotel.
• Algunas redes de hotel bloquean UDP. El cliente cae entonces de DTLS a TLS: conecta, pero va más lento y las llamadas de Teams se cortan. Es una limitación de la red, no una avería.

3. Certificados y MFA

• Certificado de servidor no válido: si el cliente avisa de un certificado no fiable en la cabecera, no se acepta. O ha caducado el de la cabecera (se ve en todos los usuarios a la vez) o la red del hotel intercepta el tráfico. En el segundo caso, cambia de red.
• Certificado de equipo caducado: si la autenticación usa certificado del portátil, un equipo que lleva semanas fuera sin renovarlo se queda sin VPN. Se ve en el almacén de certificados del equipo; la renovación necesita conexión con la entidad emisora (guía de NDES y Cloud PKI).
• MFA: el aviso llega al móvil y el usuario no lo ve porque está en el coche con el móvil en el soporte, o porque cambió de móvil y no volvió a registrar el método. Si la cabecera da tiempo de espera, conecta en el segundo intento con el móvil en la mano.
• Hora del equipo: un portátil con la hora mal (batería de la BIOS, zona horaria) rompe certificados y códigos de un solo uso.

4. El ticket: "la VPN conecta pero no llego al ERP"

Martes, 11:00. Un jefe de área en el hotel: la VPN dice Connected, el correo funciona, pero el ERP no abre.

El correo va por Internet (Microsoft 365 no entra en el túnel), así que "el correo funciona" no prueba nada. El túnel es dividido: solo van por la VPN las redes de la lista.

›Resolve-DnsName erp.contoso.localResolve-DnsName : erp.contoso.local : DNS name does not exist›Test-NetConnection 10.20.5.15 -Port 443ComputerName     : 10.20.5.15RemotePort       : 443TcpTestSucceeded : True

1. El nombre no resuelve pero la IP responde: falta el dominio interno en la lista de DNS dividido del perfil del grupo. Se corrige en la cabecera; mientras, el usuario puede entrar por IP si la aplicación lo permite.
2. Ni el nombre ni la IP: en Route Details no aparece la red del ERP (10.20.5.0/24). Falta en la lista del túnel dividido; es un cambio de redes.
3. A otros del mismo grupo les funciona: el usuario tiene una política distinta (otro grupo en la cabecera) o un perfil de VPN antiguo en el portátil.
4. El ERP es IBM i con emulador 5250: además del puerto web, comprueba el 992 (5250 sobre TLS) o el 23.

5. El ticket: "la VPN no conecta desde la tienda"

Jueves, 16:30. Un jefe de área en la tienda 042 no consigue conectar.

1. ¿Qué red? Si es la Wi-Fi corporativa de la tienda, el portátil ya está en la red de la empresa: la detección de red de confianza debería desconectar o no iniciar la VPN, y el ERP debería abrir sin ella. Si no abre, el problema es la red de la tienda, no la VPN.
2. Si es la Wi-Fi de clientes: suele filtrar el tráfico VPN o aislar los equipos. Punto de acceso del móvil.
3. Si el error es de autenticación (credenciales o MFA), es el usuario, no la tienda: mismo diagnóstico que en el apartado 3.
4. Si falla en todas las redes y a nadie más le pasa: perfil corrupto o cliente desactualizado. Pide el paquete DART.

6. DART y la revisión mensual

DART (Diagnostics and Reporting Tool) se instala con Secure Client y recoge en un ZIP los registros del cliente, el perfil, la configuración de red y los registros de eventos. El usuario lo lanza desde el menú Inicio, elige la recogida por defecto y el fichero aparece en su escritorio. Se adjunta al ticket, no se envía por chat.

Cada mes:

• Fechas de caducidad del certificado de la cabecera y de la CA de los certificados de equipo.
• Versión de Secure Client en el parque: las antiguas se actualizan desde la cabecera o con Intune.
• Usuarios con más fallos de conexión: si son siempre los mismos, son los que viajan más y merecen un portátil con módem o una formación de diez minutos.
• Revisión de la lista de túnel dividido cuando se añade un servidor o una aplicación interna nueva.

Siguientes pasos

• La guía de Cisco AnyConnect (VPN) del Nivel 1 cubre la instalación y la conexión básica.
• Fortinet FortiGate explica la cabecera y los túneles entre sedes si el firewall es Fortinet.
• Entra ID: Conditional Access ayuda con el MFA y las condiciones de acceso.
• NDES y Cloud PKI cubre la emisión y renovación de certificados de equipo.
• La guía de AS400 explica el acceso al emulador 5250 al otro lado del túnel.

¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.