Устранение неполадок подключения типа "точка — сеть" Azure

  • Статья

В этой статье перечисляются распространенные проблемы подключения типа "точка — сеть", которые могут возникнуть. Кроме того, здесь рассматриваются возможные причины этих проблем и способы их устранения.

Ошибка VPN-клиента: не удалось найти сертификат

Симптом

При попытке подключения к виртуальной сети Azure с помощью VPN-клиента появляется следующее сообщение об ошибке:

Не удалось найти сертификат, который был бы использован с протоколом расширенной проверки подлинности (EAP). (Ошибка 798)

Причина

Эта проблема возникает, если сертификат клиента отсутствует в папке Certificates - Current User\Personal\Certificates.

Решение

Устранить проблему можно так:

  1. Откройте диспетчер сертификатов. Щелкните Запустить, введите управление сертификатами компьютеров и щелкните Управление сертификатами компьютеров в результатах поиска.

  2. Убедитесь, что перечисленные ниже сертификаты находятся в правильном расположении.

    Сертификат Расположение
    AzureClient.pfx Current User\Personal\Certificates
    AzureRoot.cer Local Computer\Trusted Root Certification Authorities

  3. Перейдите в каталог C:\Users<имя_пользователя>\AppData\Roaming\Microsoft\Network\Connections\Cm<GUID>, вручную установите сертификат (файл *.cer) в пользовательское хранилище и хранилище на компьютере.

Дополнительные сведения о том, как установить сертификат клиента, см. в статье Создание и экспорт сертификатов для подключений типа "точка — сеть" с помощью PowerShell в Windows 10.

Примечание.

При импорте сертификата клиента не выбирайте параметр Включить усиленную защиту закрытого ключа.

Не удалось установить сетевое подключение между компьютером и VPN-сервером, так как удаленный сервер не отвечает

Симптом

При попытке подключиться к шлюзу виртуальной сети Azure с помощью IKEv2 в Windows вы получите следующее сообщение об ошибке:

Не удалось установить сетевое подключение между компьютером и VPN-сервером, так как удаленный сервер не отвечает

Причина

Проблема возникает, если версия Windows не поддерживает фрагментацию IKE.

Решение

IKEv2 поддерживается в Windows 10 и Server 2016. Однако для использования IKEv2 необходимо установить обновления и задать значение раздела реестра локально. Версии ОС до Windows 10 не поддерживаются и могут использовать только SSTP.

Чтобы подготовить Windows 10 или Server 2016 для IKEv2:

  1. Установите обновление.

    Версия ОС Дата Номер или ссылка
    Windows Server 2016
    Windows 10 версии 1607    		 17 января 2018 г. KB4057142
    Windows 10 версии 1703 17 января 2018 г. KB4057144
    Windows 10 версии 1709 22 марта 2018 г. KB4089848

  2. Установите значение раздела реестра. Создайте ключ REG_DWORD HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\ IKEv2\DisableCertReqPayload в реестре или задайте ему значение равное 1.

Ошибка VPN-клиента: получено непредвиденное или неправильно отформатированное сообщение

Симптом

При попытке подключения к виртуальной сети Azure с помощью VPN-клиента появляется следующее сообщение об ошибке:

Получено непредвиденное сообщение или оно имеет неправильный формат. (Ошибка 0x80090326)

Причина

Эта проблема возникает, если выполняется одно из следующих условий.

  • Определяемые пользователем маршруты (UDR) с маршрутом по умолчанию в подсети шлюза заданы неправильно.
  • Открытый ключ корневого сертификата не передается в VPN-шлюз Azure.
  • Ключ поврежден или истек срок его действия.

Решение

Устранить проблему можно так:

  1. Удалите UDR в подсети шлюза. Убедитесь, что UDR перенаправляет весь трафик должным образом.
  2. Проверьте состояние корневого сертификата на портале Azure, чтобы узнать, не отменен ли он. Если он не отозван, попробуйте удалить корневой сертификат и повторно загрузить его. Дополнительные сведения см. в разделе Создание сертификатов.

Ошибка VPN-клиента: цепочка сертификатов обработана, но обработка прервана

Симптом

При попытке подключения к виртуальной сети Azure с помощью VPN-клиента появляется следующее сообщение об ошибке:

Цепочка сертификатов обработана, но обработка прервана на корневом сертификате, у которого отсутствует отношение доверия с поставщиком доверия.

Решение

  1. Убедитесь, что перечисленные ниже сертификаты находятся в правильном расположении.

    Сертификат Расположение
    AzureClient.pfx Current User\Personal\Certificates
    Azuregateway-GUID.cloudapp.net Current User\Trusted Root Certification Authorities
    AzureGateway-GUID.cloudapp.net, AzureRoot.cer Local Computer\Trusted Root Certification Authorities

  2. Если сертификаты уже находятся в соответствующих расположениях, попробуйте удалить эти сертификаты и установить их заново. Сертификат azuregateway-GUID.cloudapp.net находится в пакете конфигурации VPN-клиента, скачанном с портала Azure. Для извлечения файлов из пакета можно использовать архиваторы.

Ошибка скачивания файла: целевой универсальный код ресурса (URI) не указан

Симптом

Отображается следующее сообщение об ошибке:

Ошибка скачивания файла. Не указано URI назначения.

Причина

Эта проблема возникает из-за неправильного типа шлюза.

Решение

Типом VPN-шлюза должен быть VPN, а типом VPN — routebased.

Ошибка VPN-клиента: сбой настраиваемого сценария VPN Azure

Симптом

При попытке подключения к виртуальной сети Azure с помощью VPN-клиента появляется следующее сообщение об ошибке:

Произошел сбой настраиваемого сценария (для обновления таблицы маршрутизации). (Ошибка 8007026f)

Причина

Эта проблема может возникнуть, если вы пытаетесь открыть VPN-подключение типа "сеть — точка" с помощью ярлыка.

Решение

Откройте пакет VPN напрямую, а не с помощью ярлыка.

Не удается установить VPN-клиент

Причина

Для установления отношений доверия между VPN-шлюзом и виртуальной сетью требуется дополнительный сертификат. Этот сертификат включен в пакет конфигурации VPN-клиента, который создается на портале Azure.

Решение

Извлеките содержимое пакета конфигурации VPN-клиента и найдите CER-файл. Для установки сертификата выполните следующие действия:

  1. Запустите mmc.exe.
  2. Добавьте оснастку Сертификаты.
  3. Выберите учетную запись Компьютер для локального компьютера.
  4. Щелкните правой кнопкой мыши узел Доверенные корневые центры сертификации. Щелкните Все задачи>Импорт и найдите CER-файл, извлеченный из пакета конфигурации VPN-клиента.
  5. Перезагрузите компьютер.
  6. Попробуйте установить VPN-клиент.

Ошибка портала Azure: не удалось сохранить VPN-шлюз, так как данные являются недопустимыми

Симптом

При попытке сохранить изменения для VPN-шлюза на портале Azure появляется следующее сообщение об ошибке:

Не удалось сохранить шлюз виртуальной сети <имя шлюза>. Недействительные данные для сертификата <идентификатор сертификата>.

Причина

Эта проблема может возникнуть, если переданный вами открытый ключ корневого сертификата содержит недопустимые знаки, например пробел.

Решение

Убедитесь, что данные в сертификате не содержат недопустимых символов, таких как разрывы строк (возвращается каретки). Значение целиком должно находиться в одной длинной строке. Ниже приведен пример содержимого сертификата.

-----BEGIN CERTIFICATE-----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-----END CERTIFICATE-----

Ошибка портала Azure: не удалось сохранить VPN-шлюз, так как имя ресурса является недопустимым

Симптом

При попытке сохранить изменения для VPN-шлюза на портале Azure появляется следующее сообщение об ошибке:

Не удалось сохранить шлюз виртуальной сети <имя шлюза>. Недопустимое имя ресурса <имя сертификата, который вы пытаетесь передать>.

Причина

Эта проблема возникает, когда имя сертификата содержит недопустимые знаки, например пробел.

Ошибка портала Azure: ошибка 503 при скачивании файла пакета VPN

Симптом

При попытке скачать пакет конфигурации VPN-клиента появляется следующее сообщение об ошибке:

Не удалось скачать файл. Сведения об ошибке: ошибка 503. Сервер занят.

Решение

Эта ошибка может быть вызвана временным сбоем сети. Попробуйте еще раз скачать пакет VPN через несколько минут.

Обновление VPN-шлюз Azure: все клиенты типа "точка — сеть" не могут подключиться

Причина

Если время существования сертификата составляет более 50 процентов, то сертификат сменяется.

Решение

Чтобы устранить эту проблему, перезагрузите и повторно разверните пакет "точка — сеть" на всех клиентах.

Слишком много одновременно подключенных VPN-клиентов

Достигнуто максимальное число допустимых подключений. Общее количество подключенных клиентов можно просмотреть на портале Azure.

VPN-клиент не может получить доступ к сетевым файловым папкам

Симптом

VPN-клиент подключился к виртуальной сети Azure. Однако клиент не может получить доступ к сетевым ресурсам.

Причина

Для доступа к файловым ресурсам используется протокол SMB. При запуске подключения VPN-клиент добавляет учетные данные сеанса и происходит сбой. После установления подключения клиент принудительно использует кэшированные учетные данные для аутентификации Kerberos. Это инициирует отправку запросов к центру распространения ключей (контроллеру домена) для получения токена. Так как клиенты подключаются через Интернет, они могут не подключиться к контроллеру домена. Поэтому клиент не может выполнить отработку отказа из Kerberos в NTLM.

Единственный раз, когда клиент запрашивает учетные данные, если у него есть действительный сертификат (с SAN=UPN), выданный доменом, к которому он присоединен. Клиент также должен быть физически подключен к доменной сети. В этом случае клиент пытается использовать сертификат и подключиться к контроллеру домена. Затем центр распространения ключей возвращает ошибку "KDC_ERR_C_PRINCIPAL_UNKNOWN". Это вынуждает клиента выполнить отработку отказа на NTLM.

Решение

Чтобы обойти эту проблему, отключите кэширование учетных данных домена в следующем подразделе реестра:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\DisableDomainCreds - Set the value to 1

Не удается найти VPN-подключение типа "точка — сеть" в Windows после переустановки VPN-клиента

Симптом

Вы удаляете VPN-подключение типа "точка — сеть", а затем переустанавливаете VPN-клиент. В этой ситуации VPN-подключение не настроено успешно. Vpn-подключение не отображается в параметрах сетевых подключений в Windows.

Решение

Чтобы устранить эту проблему, удалите старые файлы конфигурации VPN-клиента из папки C:\Users\<имя_пользователя>\AppData\Roaming\Microsoft\Network\Connections<ИД_виртуальной_сети>, а затем снова запустите установщик VPN-клиента.

VPN-клиент типа "точка — сеть" не может разрешить полное доменное имя ресурсов в локальном домене.

Симптом

Когда клиент подключается к Azure с помощью VPN-подключения типа "точка — сеть", он не может разрешить полное доменное имя ресурсов в локальном домене.

Причина

VPN-клиент типа "точка — сеть" обычно использует DNS-серверы Azure, настроенные в виртуальной сети Azure. DNS-серверы Azure имеют приоритет перед локальными DNS-серверами, настроенными в клиенте, если метрика интерфейса Ethernet не ниже, поэтому все запросы DNS отправляются на DNS-серверы Azure. Если у dns-серверов Azure нет записей для локальных ресурсов, запрос завершается ошибкой.

Решение

Чтобы устранить эту проблему, убедитесь, что DNS-серверы Azure, используемые в виртуальной сети Azure, могут разрешать записи DNS для локальных ресурсов. Для этого можно использовать DNS-серверы пересылки или серверы условной пересылки. Дополнительные сведения см. в разделе "Разрешение имен" с помощью собственного DNS-сервера.

Устанавливается VPN-подключение типа "точка — сеть", но вы по-прежнему не можете подключиться к ресурсам Azure.

Причина

Эта проблема может возникнуть, если VPN-клиент не получает маршруты из VPN-шлюза Azure.

Решение

Чтобы устранить эту проблему, сбросьте VPN-шлюз Azure. Чтобы убедиться, что используются новые маршруты, клиенты VPN "точка-сеть" необходимо загрузить заново после успешной настройки пиринга виртуальной сети.

Ошибка: "Функция отзыва не смогла проверка отзыва, так как сервер отзыва был отключен. (Ошибка 0x80092013)"

Причины

Это сообщение об ошибке возникает, если клиент не может получить доступ http://crl3.digicert.com/ssca-sha2-g1.crl и http://crl4.digicert.com/ssca-sha2-g1.crl. Для проверки отмены сертификатов требуется доступ к этим двум сайтам. Эта проблема обычно возникает на клиенте, для которого настроен прокси-сервер. В некоторых средах, если запросы не проходят через прокси-сервер, он будет запрещен в пограничном брандмауэре.

Решение

Проверьте параметры прокси-сервера и убедитесь, что у клиента есть доступ к http://crl3.digicert.com/ssca-sha2-g1.crl и http://crl4.digicert.com/ssca-sha2-g1.crl.

Ошибка VPN-клиента: "Подключение не выполнено из-за политики, заданной на сервере службы удаленного доступа/виртуальной частной сети. (Ошибка 812.)"

Причина

Эта ошибка возникает, если для сервера RADIUS, который использовался для аутентификации VPN-клиента, заданы неправильные параметры или шлюзу Azure не удается подключиться к серверу RADIUS.

Решение

Убедитесь, что сервер RADIUS настроен правильно. Дополнительные сведения см. в разделе Интеграция аутентификации RADIUS с сервером Многофакторной идентификации Azure.

"Ошибка 405" при скачивании корневого сертификата из VPN-шлюза

Причина

Корневой сертификат не установлен. Корневой сертификат установлен в хранилище доверенных сертификатов клиента.

Ошибка VPN-клиента: "Удаленное подключение не удалось установить из-за сбоя использованных VPN-туннелей. (Ошибка 800.)"

Причина

Драйвер сетевого адаптера является устаревшим.

Решение

Обновите драйвер сетевого адаптера.

  1. Нажмите кнопку Пуск, введите диспетчер устройств и выберите диспетчер устройств из списка результатов. При получении запроса на ввод пароля администратора или подтверждения введите пароль или подтвердите действие.
  2. В категориях Сетевые адаптеры найдите сетевой адаптер, который требуется обновить.
  3. Дважды щелкните имя устройства, выберите Обновить драйвер и щелкните Автоматический поиск обновленных драйверов.
  4. Если Windows не удастся найти новый драйвер, его можно будет найти на веб-сайте изготовителя устройства и следовать представленным инструкциям.
  5. Перезагрузите компьютер и повторите попытку подключения.

Ошибка VPN-клиента: набор VPN-подключения <имя VPN-подключения>, состояние = платформа VPN не активировала подключение

Вы также можете увидеть следующую ошибку в Просмотр событий из RasClient: "<Пользователь> набирал подключение с именем <VPN-Подключение ion Name>, который произошел сбой. Код ошибки, возвращенный при сбое: 1460".

Причина

У VPN-клиента Azure нет разрешения "Фоновые приложения" в приложении Параметры для Windows.

Решение

  1. В Windows перейдите в "Параметры" -> "Конфиденциальность" -> "Фоновые приложения"
  2. Установите переключатель "Разрешить запуск приложений в фоновом режиме" в положение "Вкл."

Ошибка: "Произошла ошибка скачивания файла. Целевой URI не указан."

Причина

Эта ошибка возникает из-за неправильной настройки типа шлюза.

Решение

Типом VPN-шлюза Azure должен быть "VPN", а типом VPN — RouteBased.

Установщик пакета VPN не завершает установку

Причина

Причиной этой проблемы могут быть предыдущие установки VPN-клиента.

Решение

Удалите старые файлы конфигурации VPN-клиента из папки C:\Users\<имя_пользователя>\AppData\Roaming\Microsoft\Network\Connections<ИД_виртуальной_сети>, а затем снова запустите установщик VPN-клиента.

Не удается разрешить записи в зонах Частная зона DNS с помощью частного сопоставителя из клиентов типа "точка — сеть".

Симптом

При использовании DNS-сервера Azure (168.63.129.16) DNS-сервера в виртуальной сети клиенты типа "точка — сеть" не смогут разрешать записи, присутствующих в зонах Частная зона DNS (включая частные конечные точки).

Снимок экрана: VPN-клиент Azure, открытое окно PowerShell и страница портал Azure DNS-серверов.

Причина

IP-адрес DNS-сервера Azure (168.63.129.16) можно разрешить только с платформы Azure.

Решение

Следующие действия помогут устранить записи из зоны Частная зона DNS.

Настройка входящего IP-адреса частного сопоставителя в качестве пользовательских DNS-серверов в виртуальной сети помогает разрешать записи в частной зоне DNS (включая созданные из частных конечных точек). Обратите внимание, что зоны Частная зона DNS должны быть связаны с виртуальной сетью с частным сопоставительом.

Снимок экрана: VPN-клиент Azure, открытое окно PowerShell и страница портал Azure открыть на DNS-серверах.

По умолчанию DNS-серверы, настроенные в виртуальной сети, будут отправляться на клиенты типа "точка — сеть", подключенные через VPN-шлюз. Таким образом, настройка входящего IP-адреса частного сопоставителя в качестве пользовательских DNS-серверов в виртуальной сети автоматически отправляет эти IP-адреса клиентам в качестве VPN-сервера DNS, и вы можете легко разрешать записи из частных зон DNS (включая частные конечные точки).