Qué vas a conseguir
Un usuario conectado a la VPN desde casa o desde un hotel, y un método para que el ticket "la VPN no me va" se resuelva en cinco minutos en lugar de media hora de pruebas al azar.
Cisco ha renombrado AnyConnect como Cisco Secure Client. El icono y los mensajes cambian un poco, pero los pasos son los mismos.
Antes de empezar
- El instalador que usa tu empresa (normalmente lo despliega Intune o SCCM, y en el equipo ya está). Si no, se descarga del portal de la propia VPN al conectarse por el navegador.
- La dirección del concentrador VPN (
vpn.contoso.com) y el grupo o perfil que debe elegir el usuario. - Cómo se autentica: usuario y contraseña de dominio, MFA con Authenticator, certificado de equipo, o una combinación.
1. Instalar y conectar
Cuando conecta, el icono de la bandeja muestra un candado cerrado. Pide al usuario que abra una unidad de red o la intranet para confirmar que el túnel funciona, no solo que dice "conectado".
2. Cuando no conecta: el orden
Haz las comprobaciones en este orden y para en la primera que falle. Cada una descarta una capa.
2.1 ¿Hay internet?
ping -n 2 1.1.1.1Respuesta desde 1.1.1.1: bytes=32 tiempo=14ms TTL=57nslookup vpn.contoso.comServidor: UnKnownAddress: 192.168.1.1Respuesta no autoritativa:Nombre: vpn.contoso.comAddress: 203.0.113.10Sin respuesta al ping: es la red del usuario (wifi del hotel con portal cautivo, cable suelto, datos móviles sin cobertura). Si el ping va pero nslookup no resuelve, es DNS: que pruebe con los datos del móvil para confirmarlo.
2.2 ¿Se llega al concentrador?
Abre en el navegador https://vpn.contoso.com. Si aparece el portal de la VPN, la red y el DNS están bien y el problema está en el cliente o en las credenciales. Si el navegador avisa de certificado no válido, lo verá también el cliente: suele ser una red que intercepta TLS (wifi pública, proxy de hotel) o la hora del equipo mal puesta.
2.3 ¿Qué dice el cliente?
Los mensajes de Secure Client son más útiles de lo que parecen:
- Login failed: usuario o contraseña incorrectos, o la cuenta bloqueada o caducada en Active Directory. Compruébalo con
Get-ADUser -Properties LockedOut, PasswordExpired. - The VPN connection failed due to unsuccessful domain name resolution: DNS, vuelve al 2.1.
- Untrusted VPN Server certificate: el 2.2; en redes de hotel suele arreglarse conectando primero el móvil como punto de acceso.
- VPN establishment capability for a remote user is disabled: el usuario está en sesión remota (RDP) y la política no permite VPN desde ahí. Que lo haga desde el equipo físico.
- The VPN client agent was unable to create the interprocess communication depot o el cliente no abre: el servicio no arranca, ve al 2.4.
- Posture assessment failed o "tu equipo no cumple": el módulo de cumplimiento (ISE, HostScan) exige antivirus al día, disco cifrado o una versión mínima de Windows. El propio mensaje dice qué falta.
2.4 ¿Está bien el cliente?
Get-Service -Name "csc_vpnagent","vpnagent" -ErrorAction SilentlyContinue | Select-Object Name, Status, StartTypeName Status StartType---- ------ ---------csc_vpnagent Running AutomaticRestart-Service csc_vpnagent# Adaptador virtual de la VPN: tiene que existir y no estar deshabilitadoGet-NetAdapter | Where-Object InterfaceDescription -like "Cisco AnyConnect*" | Select-Object Name, StatusName Status---- ------Ethernet 3 DisabledEnable-NetAdapter -Name "Ethernet 3"Si el servicio no arranca o el adaptador no existe, reinstala el cliente: desinstalar desde Aplicaciones, reiniciar, instalar de nuevo. Muchas veces una actualización de Windows a medias deja el adaptador virtual a medio camino.
3. Conecta pero no llega a nada
- Con la VPN conectada,
ipconfig /alltiene que mostrar el adaptador de la VPN con una IP del rango corporativo y los DNS internos. nslookup intranet.contoso.localdebe resolver con el DNS interno. Si resuelve con el de casa, el cliente no ha cambiado los DNS: reconecta, y si sigue, es el perfil del concentrador (split-DNS) y toca escalar.- Si solo falla una aplicación, pide la IP o el nombre y prueba
Test-NetConnection servidor -Port 443. Si el puerto no responde con la VPN pero sí desde la oficina, es una regla del firewall para el rango VPN: escalar a redes con el nombre, el puerto y la hora de la prueba.
4. Qué poner en el ticket
Mensaje exacto del cliente, red desde la que conecta (casa, hotel, datos móviles), hora de la prueba, y el resultado de 2.1 y 2.2. Con eso, redes puede buscar en los logs del concentrador en un minuto. Si hay que escalar a Cisco, el DART (Diagnostics and Reporting Tool, en el menú del cliente) genera un paquete con todos los logs.
Siguientes pasos
- Documenta los mensajes de error y su causa en la base de conocimiento del service desk: cada uno que añades ahorra una escalada.
- Pide a redes el perfil XML del cliente para saber si usa split-tunnel y qué DNS empuja: así entiendes qué debería verse cuando conecta.
- En el Nivel 4 verás el concentrador por dentro: FortiGate y Cisco, perfiles, grupos y las reglas que deciden qué ve cada usuario.
¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.
What you'll get
A user connected to the VPN from home or a hotel, and a method that resolves the "my VPN doesn't work" ticket in five minutes rather than half an hour of random tests.
Cisco has renamed AnyConnect to Cisco Secure Client. The icon and messages change a little, but the steps are the same.
Before you start
- The installer your company uses (Intune or SCCM usually deploys it, so it is already on the device). If not, it downloads from the VPN's own portal when connecting through the browser.
- The address of the VPN concentrator (
vpn.contoso.com) and the group or profile the user has to pick. - How it authenticates: domain username and password, MFA with Authenticator, a device certificate, or a combination.
1. Install and connect
When it connects, the tray icon shows a closed padlock. Ask the user to open a network drive or the intranet to confirm the tunnel works, not just that it says "connected".
2. When it doesn't connect: the order
Run the checks in this order and stop at the first one that fails. Each one rules out a layer.
2.1 Is there internet?
ping -n 2 1.1.1.1Reply from 1.1.1.1: bytes=32 time=14ms TTL=57nslookup vpn.contoso.comServer: UnKnownAddress: 192.168.1.1Non-authoritative answer:Name: vpn.contoso.comAddress: 203.0.113.10No ping reply: it is the user's network (hotel wifi with a captive portal, loose cable, mobile data with no coverage). If ping works but nslookup does not resolve, it is DNS: have them try on mobile data to confirm.
2.2 Can the concentrator be reached?
Open https://vpn.contoso.com in the browser. If the VPN portal appears, network and DNS are fine and the problem is in the client or the credentials. If the browser warns of an invalid certificate, the client sees it too: usually a network that intercepts TLS (public wifi, hotel proxy) or the device clock set wrong.
2.3 What does the client say?
Secure Client's messages are more useful than they look:
- Login failed: wrong username or password, or the account locked or expired in Active Directory. Check with
Get-ADUser -Properties LockedOut, PasswordExpired. - The VPN connection failed due to unsuccessful domain name resolution: DNS, back to 2.1.
- Untrusted VPN Server certificate: see 2.2; on hotel networks it is often fixed by tethering to the phone first.
- VPN establishment capability for a remote user is disabled: the user is in a remote session (RDP) and policy does not allow VPN from there. They need to do it from the physical device.
- The VPN client agent was unable to create the interprocess communication depot or the client does not open: the service is not starting, go to 2.4.
- Posture assessment failed or "your device is not compliant": the compliance module (ISE, HostScan) requires an up-to-date antivirus, an encrypted disk or a minimum Windows version. The message itself says what is missing.
2.4 Is the client healthy?
Get-Service -Name "csc_vpnagent","vpnagent" -ErrorAction SilentlyContinue | Select-Object Name, Status, StartTypeName Status StartType---- ------ ---------csc_vpnagent Running AutomaticRestart-Service csc_vpnagent# The VPN's virtual adapter: it has to exist and not be disabledGet-NetAdapter | Where-Object InterfaceDescription -like "Cisco AnyConnect*" | Select-Object Name, StatusName Status---- ------Ethernet 3 DisabledEnable-NetAdapter -Name "Ethernet 3"If the service won't start or the adapter does not exist, reinstall the client: uninstall from Apps, reboot, install again. A half-finished Windows update often leaves the virtual adapter in a broken state.
3. It connects but reaches nothing
- With the VPN connected,
ipconfig /allhas to show the VPN adapter with an IP from the corporate range and the internal DNS servers. nslookup intranet.contoso.localmust resolve through the internal DNS. If it resolves through the home one, the client has not switched DNS: reconnect, and if it persists it is the concentrator profile (split-DNS) and it is time to escalate.- If only one application fails, ask for the IP or name and test
Test-NetConnection server -Port 443. If the port does not answer over VPN but does from the office, it is a firewall rule for the VPN range: escalate to networks with the name, the port and the time of the test.
4. What to put in the ticket
The client's exact message, the network they connect from (home, hotel, mobile data), the time of the test, and the result of 2.1 and 2.2. With that, networks can search the concentrator logs in a minute. If it has to go to Cisco, the DART (Diagnostics and Reporting Tool, in the client menu) builds a bundle with all the logs.
Next steps
- Document the error messages and their cause in the service desk knowledge base: every one you add saves an escalation.
- Ask networks for the client's XML profile to learn whether it uses split-tunnel and which DNS it pushes: then you know what should appear when it connects.
- In Level 4 you'll see the concentrator from the inside: FortiGate and Cisco, profiles, groups and the rules that decide what each user can reach.
Is something missing, or different in your environment? Get in touch and I'll fix it.
Tech Career Lab · newsletter
¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.
Apúntate y llévate las 33 ideasSign up and get the 33 ideas →