Qué vas a conseguir
Resolver por teléfono los problemas de VPN de la gente que más la usa en retail: los jefes de área que visitan seis tiendas por semana y duermen en hoteles, y el personal de la oficina central que trabaja desde casa o desde un tren. Llaman desde un aparcamiento, con el portátil abierto sobre el capó y una reunión de ventas en diez minutos. No hay nadie de IT cerca, así que tienes que saber qué preguntar y qué pedir.
El cliente se llama hoy Cisco Secure Client (desde la versión 5); el módulo de VPN sigue siendo AnyConnect y los usuarios lo seguirán llamando así. Lo básico (instalar, conectar, el perfil) está en la guía del Nivel 1.
Antes de empezar
- Acceso de lectura a la cabecera VPN (el firewall o el concentrador) y a sus registros de sesión, o alguien de redes localizable.
- El método de autenticación: usuario y contraseña con MFA, certificado de equipo, o ambos.
- La política de túnel: completo (todo el tráfico va a la oficina) o dividido (solo las redes internas). Cambia por completo el diagnóstico.
- Saber cómo llegan las tiendas a la central: si la red de tienda ya está unida a la oficina por SD-WAN o un túnel entre sedes, en tienda no hace falta la VPN de usuario.
1. Las redes desde las que se conecta la gente
| Lugar | Problema típico | Qué hacer |
|---|---|---|
| Hotel | Portal cautivo sin aceptar, puertos filtrados | Abrir el navegador, aceptar el portal y reconectar |
| Tienda, Wi-Fi corporativa | La VPN no hace falta o choca con el túnel de la tienda | Detección de red de confianza; no conectar VPN dentro |
| Tienda, Wi-Fi de clientes | Filtrado de contenidos, límite de tiempo, aislamiento | Mejor el punto de acceso del móvil |
| Móvil como punto de acceso | Cobertura y consumo de datos | Válido como plan B, sobre todo en una urgencia |
| Casa | Router doméstico, DNS del operador | Raro que falle si funciona en otros sitios |
Si la VPN funciona con el punto de acceso del móvil y no con la Wi-Fi del sitio, el problema es esa red. Es la prueba más rápida y se hace en dos minutos.
2. Portales cautivos y Wi-Fi de hotel
- Con un portal cautivo pendiente, Secure Client avisa de que el proveedor de la red está restringiendo el acceso a Internet y no conecta. El usuario abre el navegador, acepta las condiciones o mete el número de habitación y vuelve a conectar.
- Si la política es Always-On (la VPN debe estar siempre activa), el perfil tiene que permitir la corrección de portal cautivo; si no, el portátil no puede ni abrir la página del hotel.
- Algunas redes de hotel bloquean UDP. El cliente cae entonces de DTLS a TLS: conecta, pero va más lento y las llamadas de Teams se cortan. Es una limitación de la red, no una avería.
3. Certificados y MFA
- Certificado de servidor no válido: si el cliente avisa de un certificado no fiable en la cabecera, no se acepta. O ha caducado el de la cabecera (se ve en todos los usuarios a la vez) o la red del hotel intercepta el tráfico. En el segundo caso, cambia de red.
- Certificado de equipo caducado: si la autenticación usa certificado del portátil, un equipo que lleva semanas fuera sin renovarlo se queda sin VPN. Se ve en el almacén de certificados del equipo; la renovación necesita conexión con la entidad emisora (guía de NDES y Cloud PKI).
- MFA: el aviso llega al móvil y el usuario no lo ve porque está en el coche con el móvil en el soporte, o porque cambió de móvil y no volvió a registrar el método. Si la cabecera da tiempo de espera, conecta en el segundo intento con el móvil en la mano.
- Hora del equipo: un portátil con la hora mal (batería de la BIOS, zona horaria) rompe certificados y códigos de un solo uso.
4. El ticket: "la VPN conecta pero no llego al ERP"
Martes, 11:00. Un jefe de área en el hotel: la VPN dice Connected, el correo funciona, pero el ERP no abre.
El correo va por Internet (Microsoft 365 no entra en el túnel), así que "el correo funciona" no prueba nada. El túnel es dividido: solo van por la VPN las redes de la lista.
Resolve-DnsName erp.contoso.localResolve-DnsName : erp.contoso.local : DNS name does not existTest-NetConnection 10.20.5.15 -Port 443ComputerName : 10.20.5.15RemotePort : 443TcpTestSucceeded : True- El nombre no resuelve pero la IP responde: falta el dominio interno en la lista de DNS dividido del perfil del grupo. Se corrige en la cabecera; mientras, el usuario puede entrar por IP si la aplicación lo permite.
- Ni el nombre ni la IP: en Route Details no aparece la red del ERP (
10.20.5.0/24). Falta en la lista del túnel dividido; es un cambio de redes. - A otros del mismo grupo les funciona: el usuario tiene una política distinta (otro grupo en la cabecera) o un perfil de VPN antiguo en el portátil.
- El ERP es IBM i con emulador 5250: además del puerto web, comprueba el 992 (5250 sobre TLS) o el 23.
5. El ticket: "la VPN no conecta desde la tienda"
Jueves, 16:30. Un jefe de área en la tienda 042 no consigue conectar.
- ¿Qué red? Si es la Wi-Fi corporativa de la tienda, el portátil ya está en la red de la empresa: la detección de red de confianza debería desconectar o no iniciar la VPN, y el ERP debería abrir sin ella. Si no abre, el problema es la red de la tienda, no la VPN.
- Si es la Wi-Fi de clientes: suele filtrar el tráfico VPN o aislar los equipos. Punto de acceso del móvil.
- Si el error es de autenticación (credenciales o MFA), es el usuario, no la tienda: mismo diagnóstico que en el apartado 3.
- Si falla en todas las redes y a nadie más le pasa: perfil corrupto o cliente desactualizado. Pide el paquete DART.
6. DART y la revisión mensual
DART (Diagnostics and Reporting Tool) se instala con Secure Client y recoge en un ZIP los registros del cliente, el perfil, la configuración de red y los registros de eventos. El usuario lo lanza desde el menú Inicio, elige la recogida por defecto y el fichero aparece en su escritorio. Se adjunta al ticket, no se envía por chat.
Cada mes:
- Fechas de caducidad del certificado de la cabecera y de la CA de los certificados de equipo.
- Versión de Secure Client en el parque: las antiguas se actualizan desde la cabecera o con Intune.
- Usuarios con más fallos de conexión: si son siempre los mismos, son los que viajan más y merecen un portátil con módem o una formación de diez minutos.
- Revisión de la lista de túnel dividido cuando se añade un servidor o una aplicación interna nueva.
Siguientes pasos
- La guía de Cisco AnyConnect (VPN) del Nivel 1 cubre la instalación y la conexión básica.
- Fortinet FortiGate explica la cabecera y los túneles entre sedes si el firewall es Fortinet.
- Entra ID: Conditional Access ayuda con el MFA y las condiciones de acceso.
- NDES y Cloud PKI cubre la emisión y renovación de certificados de equipo.
- La guía de AS400 explica el acceso al emulador 5250 al otro lado del túnel.
¿Falta algo o en tu entorno es distinto? Escríbeme y lo corrijo.
What you'll get
Fix by phone the VPN problems of the people who use it most in retail: the area managers who visit six stores a week and sleep in hotels, and the head office staff who work from home or from a train. They call from a car park, with the laptop open on the bonnet and a sales meeting in ten minutes. There is nobody from IT nearby, so you need to know what to ask and what to request.
The client is now called Cisco Secure Client (since version 5); the VPN module is still AnyConnect and users will keep calling it that. The basics (installing, connecting, the profile) are in the Level 1 guide.
Before you start
- Read access to the VPN headend (the firewall or concentrator) and its session logs, or someone from networks you can reach.
- The authentication method: username and password with MFA, device certificate, or both.
- The tunnel policy: full (all traffic goes to the office) or split (internal networks only). It changes the diagnosis completely.
- Knowing how stores reach head office: if the store network is already joined to the office by SD-WAN or a site-to-site tunnel, user VPN isn't needed inside the store.
1. The networks people connect from
| Place | Typical problem | What to do |
|---|---|---|
| Hotel | Captive portal not accepted, filtered ports | Open the browser, accept the portal and reconnect |
| Store, corporate Wi-Fi | VPN not needed or clashes with the store's tunnel | Trusted network detection; don't connect VPN inside |
| Store, customer Wi-Fi | Content filtering, time limit, client isolation | Better the mobile hotspot |
| Mobile hotspot | Coverage and data usage | Valid as plan B, especially in an emergency |
| Home | Home router, ISP DNS | Rarely fails if it works elsewhere |
If the VPN works on the mobile hotspot and not on the site's Wi-Fi, the problem is that network. It's the quickest test and takes two minutes.
2. Captive portals and hotel Wi-Fi
- With a captive portal pending, Secure Client warns that the network provider is restricting access to the Internet and won't connect. The user opens the browser, accepts the terms or enters the room number and connects again.
- If the policy is Always-On (VPN must always be up), the profile has to allow captive portal remediation; otherwise the laptop can't even open the hotel's page.
- Some hotel networks block UDP. The client then falls back from DTLS to TLS: it connects, but it's slower and Teams calls drop. It's a network limitation, not a fault.
3. Certificates and MFA
- Invalid server certificate: if the client warns of an untrusted certificate on the headend, don't accept it. Either the headend's certificate has expired (all users see it at once) or the hotel network is intercepting traffic. In the second case, change network.
- Expired device certificate: if authentication uses the laptop's certificate, a machine that has been away for weeks without renewing it loses VPN. It shows in the machine's certificate store; renewal needs a connection to the issuing authority (NDES and Cloud PKI guide).
- MFA: the prompt reaches the phone and the user doesn't see it because they're in the car with the phone in its holder, or they changed phones and never re-registered the method. If the headend times out, it connects on the second try with the phone in hand.
- Device time: a laptop with the wrong time (BIOS battery, time zone) breaks certificates and one-time codes.
4. The ticket: "VPN connects but I can't reach the ERP"
Tuesday, 11:00. An area manager at a hotel: the VPN says Connected, email works, but the ERP won't open.
Email goes over the Internet (Microsoft 365 isn't in the tunnel), so "email works" proves nothing. The tunnel is split: only the networks on the list go through the VPN.
Resolve-DnsName erp.contoso.localResolve-DnsName : erp.contoso.local : DNS name does not existTest-NetConnection 10.20.5.15 -Port 443ComputerName : 10.20.5.15RemotePort : 443TcpTestSucceeded : True- The name doesn't resolve but the IP answers: the internal domain is missing from the group profile's split DNS list. It's fixed on the headend; meanwhile, the user can go in by IP if the application allows it.
- Neither name nor IP: Route Details doesn't show the ERP network (
10.20.5.0/24). It's missing from the split tunnel list; that's a network change. - It works for others in the same group: the user has a different policy (another group on the headend) or an old VPN profile on the laptop.
- The ERP is IBM i with a 5250 emulator: besides the web port, check 992 (5250 over TLS) or 23.
5. The ticket: "VPN won't connect from the store"
Thursday, 16:30. An area manager at store 042 can't connect.
- Which network? If it's the store's corporate Wi-Fi, the laptop is already on the company network: trusted network detection should disconnect or not start the VPN, and the ERP should open without it. If it doesn't, the problem is the store network, not the VPN.
- If it's the customer Wi-Fi: it usually filters VPN traffic or isolates devices. Mobile hotspot.
- If the error is authentication (credentials or MFA), it's the user, not the store: same diagnosis as section 3.
- If it fails on every network and nobody else has the problem: corrupt profile or outdated client. Ask for the DART bundle.
6. DART and the monthly review
DART (Diagnostics and Reporting Tool) installs with Secure Client and gathers into a ZIP the client logs, the profile, the network configuration and the event logs. The user launches it from the Start menu, picks the default collection and the file appears on their desktop. It goes into the ticket, not over chat.
Each month:
- Expiry dates of the headend certificate and of the CA for device certificates.
- Secure Client version across the estate: old ones are updated from the headend or with Intune.
- Users with the most connection failures: if they're always the same, they're the ones who travel most and deserve a laptop with a modem or a ten-minute briefing.
- A review of the split tunnel list whenever a new internal server or application is added.
Next steps
- The Level 1 Cisco AnyConnect (VPN) guide covers installation and basic connection.
- Fortinet FortiGate explains the headend and site-to-site tunnels if the firewall is Fortinet.
- Entra ID: Conditional Access helps with MFA and access conditions.
- NDES and Cloud PKI covers issuing and renewing device certificates.
- The AS400 guide explains access to the 5250 emulator on the other side of the tunnel.
Is something missing, or different in your environment? Get in touch and I'll fix it.
Tech Career Lab · newsletter
¿Te ha servido? Cada dos semanas envío una idea práctica para perfiles IT: LinkedIn, proyectos, networking y procesos de selección.Found this useful? Every two weeks I send one practical idea for IT professionals: LinkedIn, projects, networking and hiring processes.
Apúntate y llévate las 33 ideasSign up and get the 33 ideas →