Résolution des problèmes de profil VPN dans Microsoft Intune
Version d’origine du produit : Microsoft Intune
Numéro de la base de connaissances d’origine : 4519426
Introduction
Ce guide vous aide à comprendre et à résoudre les problèmes de profil VPN qui peuvent se produire lorsque vous utilisez Microsoft Intune.
Les exemples de ce guide utilisent l’authentification par certificat SCEP (Simple Certificate Enrollment Protocol) pour les profils. Les exemples supposent également que les profils Racine de confiance et SCEP fonctionnent correctement sur l’appareil. Dans les exemples, les profils Racine de confiance et SCEP sont nommés comme suit :
| Types de profils | Android | iOS | Windows |
|---|---|---|---|
| Profil racine approuvé | AndroidRoot | iOSRoot | WindowsRoot2 |
| Profil SCEP | AndroidSCEP | iOSSCEP | WindowsSCEP2 |
Vue d’ensemble des profils VPN
Les réseaux privés virtuels (VPN) offrent aux utilisateurs un accès à distance sécurisé au réseau d’un organization. Les appareils utilisent un profil de connexion VPN pour établir une connexion avec le serveur VPN. Dans Intune, les profils VPN attribuent des paramètres VPN aux utilisateurs et aux appareils du organization. Ensuite, les utilisateurs peuvent se connecter facilement et en toute sécurité au réseau de l’organisation.
Par exemple, si vous souhaitez configurer tous les appareils iOS avec les paramètres requis pour se connecter à un partage de fichiers sur le réseau du organization, vous pouvez créer un profil VPN qui inclut ces paramètres et attribuer ce profil à tous les utilisateurs disposant d’appareils iOS. Après cela, les utilisateurs peuvent voir la connexion VPN dans la liste des réseaux disponibles et se connecter avec un minimum d’effort.
Vous pouvez créer des profils VPN à l’aide de différents types de connexion VPN.
Remarque
Avant de pouvoir utiliser les profils VPN attribués à un appareil, vous devez installer l’application VPN applicable pour le profil.
Comment créer des profils VPN
Pour créer un profil VPN, suivez les étapes décrites dans Créer un profil d’appareil.
Pour obtenir des exemples, consultez les captures d’écran suivantes :
Remarque
Dans les exemples, le type de connexion pour les profils VPN Android et iOS est Cisco AnyConnect, et celui pour Windows 10 est Automatique. Le profil VPN est lié au profil SCEP.
Comment attribuer des profils VPN
Après avoir créé un profil VPN, affectez le profil aux groupes sélectionnés.
Remarque
Le déploiement de type groupe (groupe d’utilisateurs ou groupe d’appareils) est important et doit être cohérent entre toutes les stratégies impliquant cette stratégie de ressources (certificats approuvés, SCEP et VPN). Cela dépend du type de certificat que vous déployez. Si vous déployez un certificat utilisateur, tous les déploiements doivent être dans un groupe d’utilisateurs et vice versa. Si le certificat déployé est un type d’appareil 1, utilisez un groupe d’appareils.
Pour obtenir des exemples, consultez la capture d’écran suivante :
À quoi ressemblent les profils VPN réussis
Ce scénario utilise un appareil Android inscrit en tant que profil professionnel appartenant à l’utilisateur. Étant donné que les profils Racine de confiance et SCEP sont déjà installés sur l’appareil, vous ne serez pas invité à installer les certificats SCEP.
Vous recevez une notification pour installer le profil VPN d’entreprise :
Si vous ne recevez pas la notification, appuyez sur le bouton Modifier les paramètres pour activer l’option Contrôle externe dans l’application AnyConnect. Ensuite, vous recevrez la notification.
Sélectionnez le certificat SCEP dans l’application AnyConnect :
Remarque
Lorsque vous utilisez un appareil Android géré par un administrateur d’appareil, il peut y avoir plusieurs certificats, car les certificats ne sont pas révoqués ou supprimés lorsqu’un profil de certificat est modifié ou supprimé. Dans ce scénario, sélectionnez le certificat le plus récent. Il s’agit généralement du dernier certificat affiché dans la liste.
Cette situation ne se produit pas sur les appareils Android Enterprise et Samsung Knox. Pour plus d’informations, consultez Gérer les appareils avec profil professionnel Android avec Intune et Supprimer les certificats SCEP et PKCS dans Microsoft Intune.
La connexion VPN est correctement créée.
Portail d'entreprise journaux d’activité du déploiement réussi du profil VPN
Sur un appareil Android, le fichier Omadmlog.log journalise les activités détaillées du profil VPN lorsqu’il est traité sur l’appareil. Selon la durée d’installation de l’application Portail d'entreprise, vous pouvez avoir jusqu’à cinq fichiers Omadmlog.log, et l’horodatage de la dernière synchronisation peut vous aider à trouver les entrées associées.
L’exemple suivant utilise CMTrace pour lire les journaux et rechercher android.vpn.client.
Exemple de journal :
<Date Time> INFO com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine 13229 00622 Notifying to provision vpn profile 'AnyConnect'.
<Date Time> INFO com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine 13229 00622 VPN Profile "AnyConnect" state changed from RECEIVED to PENDING_USER_INSTALL
<Date Time> VERB com.microsoft.omadm.platforms.android.vpn.client.VpnClient 13229 00002 Creating VPN Provision Intent: anyconnect://create/?host=VPN.contoso.com&name=AnyConnect&usecert=true&keychainalias=UserID
<Date Time> INFO com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine 13229 00002 Vpn profile 'AnyConnect' provisioned and complete.
<Date Time> INFO com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine 13229 00002 VPN Profile "AnyConnect" state changed from PENDING_USER_INSTALL to PROVISIONED
Dépannage des problèmes courants
Problème 1 : Le profil VPN n’est pas déployé sur l’appareil
Vérifiez que le profil VPN est affecté au groupe approprié.
Dans le portail Intune, sélectionnezProfils de configuration > de l’appareil, puis sélectionnez le profil, puis Affectations pour vérifier les groupes sélectionnés.
Vérifiez que l’appareil peut se synchroniser avec Intune en vérifiant l’heure DU DERNIER ARCHIVAGE dans le volet Résolution des problèmes.
Si le profil VPN est lié aux profils Racine de confiance et SCEP, vérifiez que les deux profils ont été déployés sur l’appareil. Le profil VPN a une dépendance sur ces profils.
Si les profils Racine de confiance et SCEP ne sont pas installés sur l’appareil, vous verrez l’entrée suivante dans le fichier journal Portail d'entreprise (Omadmlog.log) :
<Date Time> INFO com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine 14210 00948 Waiting for required certificates for vpn profile 'androidVPN'.Remarque
Il est possible que même si les profils Racine de confiance et SCEP sont sur l’appareil et conformes, le profil VPN ne se trouve toujours pas sur l’appareil. Ce problème se produit lorsque le
CertificateSelectorfournisseur de l’application Portail d'entreprise ne trouve pas de certificat qui correspond aux critères spécifiés. Les critères spécifiques peuvent être dans le modèle de certificat ou le profil SCEP. Si le certificat correspondant est introuvable, les certificats sur l’appareil sont exclus. Par conséquent, le profil VPN est ignoré, car il n’a pas le certificat correct. Dans ce scénario, vous voyez l’entrée suivante dans le fichier journal Portail d'entreprise (Omadmlog.log) :Waiting for required certificates for vpn profile 'androidVPN'.L’exemple de journal suivant montre que les certificats sont exclus, car les critères EKU ( Any Purpose Extended Key Usage) ont été spécifiés. Toutefois, les certificats affectés à l’appareil n’ont pas cette référence EKU :
<Date Time> VERB com.microsoft.omadm.utils.CertUtils 14210 00948 Excluding cert with alias User<ID1> and requestId <requestID1> as it does not have any purpose EKU. <Date Time> VERB com.microsoft.omadm.utils.CertUtils 14210 00948 Excluding cert with alias User<ID2> and requestId <requestID2> as it does not have any purpose EKU. <Date Time> VERB com.microsoft.omadm.utils.CertUtils 14210 00948 0 cert(s) matched criteria: <Date Time> VERB com.microsoft.omadm.utils.CertUtils 14210 00948 2 cert(s) excluded by criteria: <Date Time> INFO com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine 14210 00948 Waiting for required certificates for vpn profile '<profile name>'.L’exemple suivant montre que le profil SCEP a l’option Any Purpose EKU spécifiée. Toutefois, elle n’est pas spécifiée dans le modèle de certificat sur l’autorité de certification. Pour résoudre le problème, ajoutez l’option Any Purpose au modèle de certificat ou supprimez l’option Any Purpose du profil SCEP.
Vérifiez que l’option Contrôle externe de AnyConnect est activée.
L’option Contrôle externe doit être activée avant la création du profil. Lorsque le profil est envoyé à l’appareil, l’utilisateur est invité à activer l’option Contrôle externe .
Vérifiez que tous les certificats requis dans la chaîne de certificats complète se trouvent sur l’appareil. Sinon, vous verrez l’entrée suivante dans le fichier journal Portail d'entreprise (Omadmlog.log) :
Waiting for required certificates for vpn profile 'androidVPN'.Pour plus d’informations, consultez Autorité de certification intermédiaire manquante.
Problème 2 : le profil VPN est déployé sur l’appareil, mais l’appareil ne peut pas se connecter au réseau
En règle générale, ce problème de connectivité n’est pas un problème Intune, et il peut y avoir de nombreuses causes. Les éléments suivants peuvent vous aider à comprendre et à résoudre le problème :
Pouvez-vous vous connecter manuellement au réseau à l’aide d’un certificat qui a les mêmes critères dans le profil VPN ?
Si vous le pouvez, case activée les propriétés du certificat que vous avez utilisé dans la connexion manuelle et apportez des modifications au profil VPN Intune.
Pour les appareils Android et iOS, les journaux d’application du client VPN indiquent-ils que l’appareil a essayé de se connecter au profil VPN ?
En règle générale, les erreurs de connectivité sont consignées dans les journaux des applications clientes VPN.
Pour les appareils Windows, les journaux du serveur Radius indiquent-ils que l’appareil a tenté de se connecter au profil VPN ?
En règle générale, les erreurs de connectivité sont consignées dans les journaux du serveur Radius.
Comment afficher les journaux dans l’application AnyConnect
Pour afficher les journaux, consultez les deux exemples suivants pour les appareils Android et iOS.
Exemple 1 : Afficher les journaux sur les appareils Android
Sélectionnez Diagnostics du menu>.
Pour afficher les certificats, sélectionnez Gestion des certificats.
Pour afficher les journaux d’activité afin d’analyser les problèmes anyConnect, sélectionnez Journalisation et informations système>Déboguer .
Pour envoyer des journaux, sélectionnez Menu> Envoyer le rapportdes journaux>à l’administrateur.
Une fois que vous avez obtenu les journaux de débogage, case activée le fichier debug_logs_unfiltered.txt pour la création de profil et les informations de connexion.
Exemple de journal pour la création d’un VPN :
<Date Time> I/AnyConnect(14530): URIHandlerActivity: Received command: anyconnect://create?host=VPN.Contoso.com&name=AnyConnect&usecert=true&keychainalias=UserID
<Date Time> I/AnyConnect(14530): VpnService: VpnService is being created.
Exemple de journal d’échec de connexion VPN :
<Date Time> I/vpnapi (14530): Message type information sent to the user: Contacting VPN.Contoso.com.
<Date Time> I/vpnapi (14530): Initiating VPN connection to the secure gateway https://VPN.Contoso.com
<Date Time> I/acvpnagent(14592): Using default preferences. Some settings (e.g. certificate matching) may not function as expected if a local profile is expected to be used. Verify that the selected host is in the server list section of the profile and that the profile is configured on the secure gateway.
<Date Time> I/acvpnagent(14592): Function: processConnectNotification File: MainThread.cpp Line: 14616 Received connect notification (host VPN.Contoso.com, profile N/A)
<Date Time> W/acvpnagent(14592): Function: getHostIPAddrByName File: SocketSupport.cpp Line: 344 Invoked Function: ::getaddrinfo Return Code: 11 (0x0000000B) Description: unknown
<Date Time> W/acvpnagent(14592): Function: resolveHostName File: HostLocator.cpp Line: 710 Invoked Function: CSocketSupport::getHostIPAddrByName Return Code: -31129588 (0xFE25000C) Description: SOCKETSUPPORT_ERROR_GETADDRINFO
<Date Time> W/acvpnagent(14592): Function: ResolveHostname File: HostLocator.cpp Line: 804 Invoked Function: CHostLocator::resolveHostName Return Code: -31129588 (0xFE25000C) Description: SOCKETSUPPORT_ERROR_GETADDRINFO failed to resolve host name VPN.Contoso.com to IPv4 address
<Date Time> I/vpnapi (14530): Message type warning sent to the user: Connection attempt has failed.
<Date Time> E/vpnapi (14530): Function: processIfcData File: ConnectMgr.cpp Line: 3399 Content type (unknown) received. Response type (DNS resolution failed) from VPN.Contoso.com: DNS resolution failed
<Date Time> I/vpnapi (14530): Message type warning sent to the user: Unable to contact VPN.Contoso.com.
<Date Time> E/vpnapi (14530): Function: processIfcData File: ConnectMgr.cpp Line: 3535 Unable to contact VPN.Contoso.com DNS resolution failed
<Date Time> I/vpnapi (14530): Message type error sent to the user: The VPN connection failed due to unsuccessful domain name resolution.
Exemple 2 : Afficher les journaux sur les appareils iOS
Pour afficher le certificat utilisateur, sélectionnez Certificats de> diagnostic.
Pour afficher les messages de journal, sélectionnez Diagnostics, activez l’option Journaux de débogage VPN pour activer la journalisation, puis sélectionnez Journaux.
- Pour afficher les messages du journal de débogage du service, sélectionnez Service.
- Pour afficher les messages du journal de débogage de l’application, sélectionnez Application.
Pour envoyer des journaux, sélectionnez Partager les journaux dans la fenêtre Diagnostics , entrez les informations sur le problème, puis sélectionnez Envoyer.
Une fois que vous avez obtenu les journaux de débogage, case activée les fichiers pour la création de profil et les informations de connexion.
Exemple de journal du fichier AnyConnect_App_Debug_Logs.txt qui montre le profil VPN :
[<Date Time>] Info: Function: SaveSettings File: AppleVpnConfig.mm Line: 198 SaveSettings {type = mutable dict, count = 3, entries => 0 : {contents = "RemoteAddress"} = {contents = "Contoso.com"} 1 : {contents = "AuthenticationMethod"} = {contents = "Certificate"} 2 : {contents = "LocalCertificate"} = <69646e74 00000000 000002d3> }
[<Date Time>] Info: Function: GetSettings File: AppleVpnConfig.mm Line: 175 GetSettings { AuthenticationMethod = Certificate; LocalCertificate = <69646e74 00000000 000002d3>; RemoteAddress = "Contoso.com"; }
[<Date Time>] Info: Function: -[AppleVpnConfigBatch startBatchSaveToSystem] File: AppleVpnConfigBatch.mm Line: 43 Invoking save to system with 0x28202fd60
[<Date Time>] Info: Function: saveToSystem_block_invoke File: AxtVpnConfig.mm Line: 222 Successfully saved profile for Contoso.com
[<Date Time>] Info: Function: -[AppleVpnConfigBatch startBatchSaveToSystem] File: AppleVpnConfigBatch.mm Line: 36 completed!.
Exemple de journal du fichier AnyConnect_Messages.txt qui montre l’échec de la connexion VPN :
[<Date Time>] [VPN] - Contacting Contoso.com.
[<Date Time>] [VPN] - Connection attempt has failed.
[<Date Time>] [VPN] - Unable to contact CoolBreeze.com.
[<Date Time>] [VPN] - Connection attempt has timed out. Please verify Internet connectivity.
Exemple de journal du fichier AnyConnect_Plugin_Debug_Logs.txt qui montre l’échec de la connexion VPN :
[<Date Time>] Info: Message type information sent to the user: Contacting Contoso.com.
[<Date Time>] Info: Initiating VPN connection to the secure gateway https://Contoso.com
[<Date Time>] Info: Function: NoticeCB File: AnyConnectAuthenticator.cpp Line: 2116 Sending notice Contacting Contoso.com. to App
[<Date Time>] Error: Function: SendRequest File: CTransportCurlStatic.cpp Line: 2046 Invoked Function: curl_easy_perform Return Code: -29949904 (0xFE370030) Description: CTRANSPORT_ERROR_TIMEOUT 28 : Error
[<Date Time>] Error: Function: TranslateStatusCode File: ConnectIfc.cpp Line: 3169 Invoked Function: TranslateStatusCode Return Code: -29949904 (0xFE370030) Description: CTRANSPORT_ERROR_TIMEOUT Connection attempt has timed out. Please verify Internet connectivity.
[<Date Time>] Error: Function: doConnectIfcConnect File: ConnectMgr.cpp Line: 2442 Invoked Function: ConnectIfc::connect Return Code: -29949904 (0xFE370030) Description: CTRANSPORT_ERROR_TIMEOUT
[<Date Time>] Info: Message type warning sent to the user: Connection attempt has failed.
[<Date Time>] Error: Function: processIfcData File: ConnectMgr.cpp Line: 3407 Content type (unknown) received. Response type (host unreachable) from Contoso.com:
[<Date Time>] Info: Message type warning sent to the user: Unable to contact Contoso.com.
[<Date Time>] Info: Function: NoticeCB File: AnyConnectAuthenticator.cpp Line: 2116 Sending notice Connection attempt has failed. to App
[<Date Time>] Error: Function: processIfcData File: ConnectMgr.cpp Line: 3543 Unable to contact Contoso.com
[<Date Time>] Info: Function: NoticeCB File: AnyConnectAuthenticator.cpp Line: 2116 Sending notice Unable to contact Contoso.com. to App
[<Date Time>] Info: Message type error sent to the user: Connection attempt has timed out. Please verify Internet connectivity.
Plus d’informations
Si vous recherchez toujours une solution à un problème connexe, ou si vous souhaitez plus d’informations sur Microsoft Intune, publiez une question dans le forum Microsoft Intune. De nombreux ingénieurs de support, MVP et membres de l’équipe de développement visitent les forums. Il y a donc de fortes chances que vous trouviez quelqu’un avec les informations dont vous avez besoin.
Si vous souhaitez ouvrir une demande de support à l’équipe de support technique Microsoft Intune, consultez Comment obtenir de l’aide pour Microsoft Intune.
Pour plus d’informations sur les profils VPN dans Intune, consultez les articles suivants :
- Paramètres de l’appareil Android pour configurer le VPN dans Intune
- Configurer les paramètres VPN sur les appareils iOS dans Microsoft Intune
- Paramètres des appareils Windows 10 et Windows holographiques pour ajouter des connexions VPN à l’aide de Intune
- Conseil de support - Comment configurer NDES pour les déploiements de certificats SCEP dans Intune
- Résolution des problèmes de déploiement de profil de certificat SCEP dans Microsoft Intune
- Résolution des problèmes de configuration NDES à utiliser avec des profils de certificat Microsoft Intune
Pour toutes les dernières actualités, informations et conseils techniques, visitez les blogs officiels :
Commentaires
Bientôt disponible : Tout au long de 2024, nous allons supprimer progressivement GitHub Issues comme mécanisme de commentaires pour le contenu et le remplacer par un nouveau système de commentaires. Pour plus d’informations, consultez https://aka.ms/ContentUserFeedback.
Envoyer et afficher des commentaires pour