Delen via


Problemen met VPN-profiel in Microsoft Intune oplossen

Oorspronkelijke productversie: Microsoft Intune
Origineel KB-nummer: 4519426

Inleiding

Deze handleiding helpt u bij het begrijpen en oplossen van problemen met VPN-profielen die kunnen optreden wanneer u Microsoft Intune gebruikt.

In de voorbeelden in deze handleiding wordt scep-certificaatverificatie (Simple Certificate Enrollment Protocol) gebruikt voor profielen. In de voorbeelden wordt er ook van uitgegaan dat de vertrouwde basis- en SCEP-profielen correct werken op het apparaat. In de voorbeelden hebben de profielen Vertrouwde hoofdmap en SCEP de volgende namen:

Profieltypen Android iOS Windows
Vertrouwd hoofdprofiel AndroidRoot iOSRoot WindowsRoot2
SCEP-profiel AndroidSCEP iOSSCEP WindowsSCEP2

Overzicht van VPN-profielen

Virtuele particuliere netwerken (VPN's) bieden gebruikers beveiligde externe toegang tot het netwerk van een organisatie. Apparaten gebruiken een VPN-verbindingsprofiel om een verbinding met de VPN-server te starten. In Intune wijzen VPN-profielen VPN-instellingen toe aan gebruikers en apparaten in de organisatie. Vervolgens kunnen de gebruikers eenvoudig en veilig verbinding maken met het bedrijfsnetwerk.

Als u bijvoorbeeld alle iOS-apparaten wilt configureren met de vereiste instellingen om verbinding te maken met een bestandsshare in het netwerk van de organisatie, kunt u een VPN-profiel maken dat deze instellingen bevat en dit profiel toewijzen aan alle gebruikers met iOS-apparaten. Daarna kunnen de gebruikers de VPN-verbinding zien in de lijst met beschikbare netwerken en verbinding maken met minimale inspanning.

U kunt VPN-profielen maken met behulp van verschillende VPN-verbindingstypen.

Opmerking

Voordat u VPN-profielen kunt gebruiken die zijn toegewezen aan een apparaat, moet u de toepasselijke VPN-app voor het profiel installeren.

VPN-profielen maken

Als u een VPN-profiel wilt maken, volgt u de stappen in Een apparaatprofiel maken.

Zie de volgende schermopnamen voor voorbeelden:

Opmerking

In de voorbeelden is het verbindingstype voor Android- en iOS-VPN-profielen Cisco AnyConnect en het verbindingstype voor Windows 10 Automatisch. Het VPN-profiel is gekoppeld aan het SCEP-profiel.

Schermopname van het maken van een VPN-profiel voor Android.

VPN-profielen toewijzen

Nadat u een VPN-profiel hebt gemaakt, wijst u het profiel toe aan geselecteerde groepen.

Opmerking

Implementatie van het groepstype (gebruikersgroep of apparaatgroep) is belangrijk en moet consistent zijn voor alle beleidsregels die betrekking hebben op dit resourcebeleid (vertrouwde certificaten, SCEP en VPN). Dit is afhankelijk van het type certificaat dat u implementeert. Als u een gebruikerscertificaat implementeert, moeten alle implementaties naar een gebruikersgroep zijn en omgekeerd. Als het geïmplementeerde certificaat een apparaattype is, gebruikt u een apparaatgroep.

Zie de volgende schermopname voor voorbeelden:

Schermopname die laat zien hoe u een profiel toewijst.

Hoe geslaagde VPN-profielen eruit zien

In dit scenario wordt een Android-apparaat gebruikt dat is ingeschreven als een werkprofiel in persoonlijk eigendom. Omdat de vertrouwde basis- en SCEP-profielen al op het apparaat zijn geïnstalleerd, wordt u niet gevraagd om de SCEP-certificaten te installeren.

  1. U ontvangt een melding voor het installeren van het zakelijke VPN-profiel:

    Schermopname van de melding voor het installeren van het VPN-profiel.

    Als u de melding niet ontvangt, tikt u op de knop Instellingen wijzigen om de optie Extern beheer in te schakelen in de AnyConnect-app. Vervolgens ontvangt u de melding.

    Schermopname van de knop Instellingen wijzigen.

    Schermopname van de optie Extern beheer.

    Schermopname die laat zien dat de optie Extern beheer is ingeschakeld.

  2. Selecteer het SCEP-certificaat in de AnyConnect-app:

    Schermopname van de pagina voor het kiezen van certificaten.

    Opmerking

    Wanneer u een android-apparaat gebruikt dat door een apparaatbeheerder wordt beheerd, zijn er mogelijk meerdere certificaten omdat de certificaten niet worden ingetrokken of verwijderd wanneer een certificaatprofiel wordt gewijzigd of verwijderd. Selecteer in dit scenario het nieuwste certificaat. Dit is meestal het laatste certificaat dat in de lijst wordt weergegeven.

    Deze situatie treedt niet op op Android Enterprise- en Samsung Knox-apparaten. Zie Apparaten met een Android-werkprofiel beheren met Intune en SCEP- en PKCS-certificaten verwijderen in Microsoft Intune voor meer informatie.

  3. De VPN-verbinding is gemaakt.

    Schermopname die laat zien dat een VPN-verbinding is gemaakt.

Bedrijfsportal logboeken van de implementatie van een VPN-profiel

Op een Android-apparaat registreert het Omadmlog.log-bestand gedetailleerde activiteiten van het VPN-profiel wanneer het op het apparaat wordt verwerkt. Afhankelijk van hoe lang de Bedrijfsportal-app is geïnstalleerd, hebt u mogelijk maximaal vijf Omadmlog.log bestanden en de tijdstempel van de laatste synchronisatie kan u helpen de gerelateerde vermeldingen te vinden.

In het volgende voorbeeld wordt CMTrace gebruikt om de logboeken te lezen en te zoeken android.vpn.clientnaar .

Schermopname van een voorbeeld waarin CMTrace wordt gebruikt om logboeken te lezen en naar android.vpn.client wordt gezocht.

Voorbeeldlogboek:

<Date Time>    INFO    com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine    13229    00622    Notifying to provision vpn profile 'AnyConnect'.
<Date Time>    INFO    com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine    13229    00622    VPN Profile "AnyConnect" state changed from RECEIVED to PENDING_USER_INSTALL
<Date Time>    VERB    com.microsoft.omadm.platforms.android.vpn.client.VpnClient    13229    00002    Creating VPN Provision Intent: anyconnect://create/?host=VPN.contoso.com&name=AnyConnect&usecert=true&keychainalias=UserID
<Date Time>    INFO    com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine    13229    00002    Vpn profile 'AnyConnect' provisioned and complete.
<Date Time>    INFO    com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine    13229    00002    VPN Profile "AnyConnect" state changed from PENDING_USER_INSTALL to PROVISIONED

Veelvoorkomende problemen oplossen

Probleem 1: Het VPN-profiel is niet geïmplementeerd op het apparaat

  1. Controleer of het VPN-profiel is toegewezen aan de juiste groep.

    Selecteer in de Intune portal Apparaatconfiguratieprofielen>, selecteer vervolgens het profiel en selecteer vervolgens Toewijzingen om de geselecteerde groepen te controleren.

    Schermopname van het toegewezen VPN-profiel van een groep voor Android.

  2. Controleer of het apparaat kan worden gesynchroniseerd met Intune door de laatste inchecktijd in het deelvenster Problemen oplossen te controleren.

    Schermopname van de laatste check-in tijd in het deelvenster Problemen oplossen voor Android.

  3. Als het VPN-profiel is gekoppeld aan de vertrouwde basis- en SCEP-profielen, controleert u of beide profielen op het apparaat zijn geïmplementeerd. Het VPN-profiel is afhankelijk van deze profielen.

    Als de vertrouwde basis- en SCEP-profielen niet op het apparaat zijn geïnstalleerd, ziet u de volgende vermelding in het logboekbestand Bedrijfsportal (Omadmlog.log):

    <Date Time> INFO com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine 14210 00948 Waiting for required certificates for vpn profile 'androidVPN'.

    Opmerking

    Het is mogelijk dat, hoewel de vertrouwde basis- en SCEP-profielen zich op het apparaat bevinden en compatibel zijn, het VPN-profiel zich nog steeds niet op het apparaat bevindt. Dit probleem treedt op wanneer de CertificateSelector provider van de Bedrijfsportal-app geen certificaat vindt dat voldoet aan de opgegeven criteria. De specifieke criteria kunnen zich in de certificaatsjabloon of het SCEP-profiel bevinden. Als het overeenkomende certificaat niet wordt gevonden, worden de certificaten op het apparaat uitgesloten. Daarom wordt het VPN-profiel overgeslagen omdat het niet het juiste certificaat heeft. In dit scenario ziet u de volgende vermelding in het Bedrijfsportal-logboekbestand (Omadmlog.log):

    Waiting for required certificates for vpn profile 'androidVPN'.

    In het volgende voorbeeldlogboek ziet u dat certificaten worden uitgesloten omdat de Criteria voor uitgebreid sleutelgebruik (EKU) voor elk doel zijn opgegeven. De certificaten die aan het apparaat zijn toegewezen, hebben deze EKU echter niet:

    <Date Time>    VERB     com.microsoft.omadm.utils.CertUtils      14210    00948    Excluding cert with alias User<ID1> and requestId <requestID1> as it does not have any purpose EKU.
    <Date Time>    VERB     com.microsoft.omadm.utils.CertUtils      14210    00948    Excluding cert with alias User<ID2> and requestId <requestID2> as it does not have any purpose EKU.
    <Date Time>    VERB     com.microsoft.omadm.utils.CertUtils      14210    00948    0 cert(s) matched criteria:
    <Date Time>    VERB     com.microsoft.omadm.utils.CertUtils      14210    00948    2 cert(s) excluded by criteria:
    <Date Time>    INFO     com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine       14210     00948    Waiting for required certificates for vpn profile '<profile name>'.
    

    In het volgende voorbeeld ziet u dat voor het SCEP-profiel de optie Any Purpose EKU is opgegeven. Deze is echter niet opgegeven in de certificaatsjabloon op de certificeringsinstantie (CA). U kunt het probleem oplossen door de optie Any Purpose toe te voegen aan de certificaatsjabloon of de optie Any Purpose uit het SCEP-profiel te verwijderen.

    Schermopname die laat zien hoe u de optie Any Purpose toevoegt.

    Schermopname die laat zien dat de optie Any Purpose wordt weergegeven.

  4. Controleer of de optie Extern beheer van AnyConnect is ingeschakeld.

    De optie Extern beheer moet zijn ingeschakeld voordat het profiel wordt gemaakt. Wanneer het profiel naar het apparaat wordt gepusht, wordt de gebruiker gevraagd de optie Extern beheer in te schakelen.

    Schermopname die laat zien hoe u de optie Extern beheer kunt controleren.

    Schermopname van de optie Extern beheer is ingeschakeld.

  5. Controleer of alle vereiste certificaten in de volledige certificaatketen zich op het apparaat bevinden. Anders ziet u de volgende vermelding in het Bedrijfsportal logboekbestand (Omadmlog.log):

    Waiting for required certificates for vpn profile 'androidVPN'.

    Zie Ontbrekende tussenliggende certificeringsinstantie voor meer informatie.

Probleem 2: Het VPN-profiel wordt geïmplementeerd op het apparaat, maar het apparaat kan geen verbinding maken met het netwerk

Dit connectiviteitsprobleem is doorgaans geen Intune probleem en er kunnen veel oorzaken zijn. De volgende items kunnen u helpen het probleem te begrijpen en op te lossen:

  • Kunt u handmatig verbinding maken met het netwerk met behulp van een certificaat met dezelfde criteria in het VPN-profiel?

    Controleer indien mogelijk de eigenschappen van het certificaat dat u in de handmatige verbinding hebt gebruikt en breng wijzigingen aan in het Intune VPN-profiel.

  • Voor Android- en iOS-apparaten is in de toepassingslogboeken van de VPN-client aangegeven dat het apparaat verbinding probeerde te maken met het VPN-profiel?

    Meestal worden connectiviteitsfouten vastgelegd in logboeken van VPN-clienttoepassingen.

  • Hebben de Radius-serverlogboeken voor Windows-apparaten laten zien dat het apparaat verbinding heeft gemaakt met het VPN-profiel?

    Meestal worden connectiviteitsfouten vastgelegd in radius-serverlogboeken.

Logboeken weergeven in de AnyConnect-app

Zie de volgende twee voorbeelden voor Android- en iOS-apparaten om logboeken weer te geven.

Voorbeeld 1: Logboeken op Android-apparaten weergeven

  1. SelecteerMenuDiagnose>.

    Schermopname van de functie Diagnostische gegevens.

  2. Als u certificaten wilt weergeven, selecteert u Certificaatbeheer.

    Schermopname van de functie Certificaatbeheer.

    Schermopname van de certificaatgegevens.

  3. Als u logboeken voor het analyseren van AnyConnect-problemen wilt bekijken, selecteert u Logboekregistratie en systeeminformatie>opsporen .

    Schermopname van de functie Logboekregistratie en Systeemgegevens.

    Schermopname van de foutopsporingsgegevens.

  4. Als u logboeken wilt verzenden, selecteert u Menu>Logboekenrapport>naar beheerder verzenden.

    Schermopname van de functie Logboeken verzenden.

    Schermopname van de functie Rapporteren aan beheerder.

  5. Nadat u de foutopsporingslogboeken hebt opgehaald, controleert u het debug_logs_unfiltered.txt-bestand op informatie over het maken van profielen en de verbinding.

Voorbeeldlogboek voor het maken van VPN:

<Date Time> I/AnyConnect(14530): URIHandlerActivity: Received command: anyconnect://create?host=VPN.Contoso.com&name=AnyConnect&usecert=true&keychainalias=UserID
<Date Time> I/AnyConnect(14530): VpnService: VpnService is being created.

Voorbeeldlogboek voor vpn-verbindingsfouten:

<Date Time> I/vpnapi  (14530): Message type information sent to the user: Contacting VPN.Contoso.com.
<Date Time> I/vpnapi  (14530): Initiating VPN connection to the secure gateway https://VPN.Contoso.com
<Date Time> I/acvpnagent(14592): Using default preferences. Some settings (e.g. certificate matching) may not function as expected if a local profile is expected to be used. Verify that the selected host is in the server list section of the profile and that the profile is configured on the secure gateway.
<Date Time> I/acvpnagent(14592): Function: processConnectNotification File: MainThread.cpp Line: 14616 Received connect notification (host VPN.Contoso.com, profile N/A)
<Date Time> W/acvpnagent(14592): Function: getHostIPAddrByName File: SocketSupport.cpp Line: 344 Invoked Function: ::getaddrinfo Return Code: 11 (0x0000000B) Description: unknown 
<Date Time> W/acvpnagent(14592): Function: resolveHostName File: HostLocator.cpp Line: 710 Invoked Function: CSocketSupport::getHostIPAddrByName Return Code: -31129588 (0xFE25000C) Description: SOCKETSUPPORT_ERROR_GETADDRINFO 
<Date Time> W/acvpnagent(14592): Function: ResolveHostname File: HostLocator.cpp Line: 804 Invoked Function: CHostLocator::resolveHostName Return Code: -31129588 (0xFE25000C) Description: SOCKETSUPPORT_ERROR_GETADDRINFO failed to resolve host name VPN.Contoso.com to IPv4 address
<Date Time> I/vpnapi  (14530): Message type warning sent to the user: Connection attempt has failed.
<Date Time> E/vpnapi  (14530): Function: processIfcData File: ConnectMgr.cpp Line: 3399 Content type (unknown) received. Response type (DNS resolution failed) from VPN.Contoso.com: DNS resolution failed
<Date Time> I/vpnapi  (14530): Message type warning sent to the user: Unable to contact VPN.Contoso.com.
<Date Time> E/vpnapi  (14530): Function: processIfcData File: ConnectMgr.cpp Line: 3535 Unable to contact VPN.Contoso.com DNS resolution failed
<Date Time> I/vpnapi  (14530): Message type error sent to the user: The VPN connection failed due to unsuccessful domain name resolution.

Voorbeeld 2: Logboeken op iOS-apparaten weergeven

  1. Als u het gebruikerscertificaat wilt weergeven, selecteert u Diagnostische>certificaten.

    Schermopname van geïmporteerde certificaten.

  2. Als u logboekberichten wilt weergeven, selecteert u Diagnostische gegevens, schakelt u de optie VPN-foutopsporingslogboeken in om logboekregistratie in te schakelen en selecteert u vervolgens Logboeken.

    • Als u de logboekberichten voor foutopsporing van de service wilt weergeven, selecteert u Service.
    • Als u de logboekberichten voor foutopsporing van toepassingen wilt weergeven, selecteert u App.

    Schermopname van de optie Logboeken voor foutopsporing in VPN.

  3. Als u logboeken wilt verzenden, selecteert u Logboeken delen in het venster Diagnostische gegevens , voert u de informatie over het probleem in en selecteert u vervolgens Verzenden.

    Schermopname van de functie Logboeken delen.

  4. Nadat u de logboeken voor foutopsporing hebt opgehaald, controleert u de bestanden op informatie over het maken van profielen en de verbinding.

    Schermopname van de map met de logboekbestanden voor foutopsporing.

Voorbeeldlogboek van het AnyConnect_App_Debug_Logs.txt-bestand met het VPN-profiel:

[<Date Time>] Info: Function: SaveSettings File: AppleVpnConfig.mm Line: 198 SaveSettings {type = mutable dict, count = 3, entries => 0 : {contents = "RemoteAddress"} = {contents = "Contoso.com"} 1 : {contents = "AuthenticationMethod"} = {contents = "Certificate"} 2 : {contents = "LocalCertificate"} = <69646e74 00000000 000002d3> }
[<Date Time>] Info: Function: GetSettings File: AppleVpnConfig.mm Line: 175 GetSettings { AuthenticationMethod = Certificate; LocalCertificate = <69646e74 00000000 000002d3>; RemoteAddress = "Contoso.com"; }
[<Date Time>] Info: Function: -[AppleVpnConfigBatch startBatchSaveToSystem] File: AppleVpnConfigBatch.mm Line: 43 Invoking save to system with 0x28202fd60
[<Date Time>] Info: Function: saveToSystem_block_invoke File: AxtVpnConfig.mm Line: 222 Successfully saved profile for Contoso.com
[<Date Time>] Info: Function: -[AppleVpnConfigBatch startBatchSaveToSystem] File: AppleVpnConfigBatch.mm Line: 36 completed!.

Voorbeeldlogboek van het AnyConnect_Messages.txt-bestand met vpn-verbindingsfouten:

[<Date Time>] [VPN] - Contacting Contoso.com.
[<Date Time>] [VPN] - Connection attempt has failed.
[<Date Time>] [VPN] - Unable to contact CoolBreeze.com.
[<Date Time>] [VPN] - Connection attempt has timed out. Please verify Internet connectivity.

Voorbeeldlogboek van het AnyConnect_Plugin_Debug_Logs.txt-bestand met vpn-verbindingsfouten:

[<Date Time>] Info: Message type information sent to the user: Contacting Contoso.com.
[<Date Time>] Info: Initiating VPN connection to the secure gateway https://Contoso.com
[<Date Time>] Info: Function: NoticeCB File: AnyConnectAuthenticator.cpp Line: 2116 Sending notice Contacting Contoso.com. to App
[<Date Time>] Error: Function: SendRequest File: CTransportCurlStatic.cpp Line: 2046 Invoked Function: curl_easy_perform Return Code: -29949904 (0xFE370030) Description: CTRANSPORT_ERROR_TIMEOUT 28 : Error
[<Date Time>] Error: Function: TranslateStatusCode File: ConnectIfc.cpp Line: 3169 Invoked Function: TranslateStatusCode Return Code: -29949904 (0xFE370030) Description: CTRANSPORT_ERROR_TIMEOUT Connection attempt has timed out. Please verify Internet connectivity.
[<Date Time>] Error: Function: doConnectIfcConnect File: ConnectMgr.cpp Line: 2442 Invoked Function: ConnectIfc::connect Return Code: -29949904 (0xFE370030) Description: CTRANSPORT_ERROR_TIMEOUT 
[<Date Time>] Info: Message type warning sent to the user: Connection attempt has failed.
[<Date Time>] Error: Function: processIfcData File: ConnectMgr.cpp Line: 3407 Content type (unknown) received. Response type (host unreachable) from Contoso.com: 
[<Date Time>] Info: Message type warning sent to the user: Unable to contact Contoso.com.
[<Date Time>] Info: Function: NoticeCB File: AnyConnectAuthenticator.cpp Line: 2116 Sending notice Connection attempt has failed. to App
[<Date Time>] Error: Function: processIfcData File: ConnectMgr.cpp Line: 3543 Unable to contact Contoso.com 
[<Date Time>] Info: Function: NoticeCB File: AnyConnectAuthenticator.cpp Line: 2116 Sending notice Unable to contact Contoso.com. to App
[<Date Time>] Info: Message type error sent to the user: Connection attempt has timed out. Please verify Internet connectivity.

Meer informatie

Als u nog steeds op zoek bent naar een oplossing voor een gerelateerd probleem of als u meer informatie wilt over Microsoft Intune, kunt u een vraag stellen op het Microsoft Intune forum. Veel ondersteuningstechnici, MVP's en leden van het ontwikkelteam bezoeken de forums. Er is dus een goede kans dat u iemand kunt vinden met de informatie die u nodig hebt.

Als u een ondersteuningsaanvraag wilt openen voor het Microsoft Intune productondersteuningsteam, raadpleegt u Ondersteuning krijgen voor Microsoft Intune.

Zie de volgende artikelen voor meer informatie over VPN-profielen in Intune:

Ga naar de officiële blogs voor het laatste nieuws, informatie en technische tips: