2013 年 8 月 5 日 - 机器翻译

其他版本: PDF

| 英语 (2011 年 9 月 16 日) | Feedback

内容

前言

前提条件

需求

使用的组件

惯例

故障排除过程

安装和虚拟适配器问题

连接断开或无法建立初始连接

关于通过流量的问题

AnyConnect 崩溃问题

分段/通过流量问题

自动卸载

AnyConnect 延迟问题

填充团星FQDN的问题

备份服务器列表配置

AnyConnect ：损坏的驱动程序数据库问题

修复

如果修复失败

分析数据库

错误消息

Error:Unable to Update the Session Management Database

解决方案 1

解决方案2

Error:"Module c:\Program Files\Cisco\Cisco AnyConnect VPN Client\vpnapi.dll failed to register"

解决方案

Error:"An error was received from the secure gateway in response to the VPN negotiation request.Please contact your network administrator"

解决方案

Error:会话不可能建立。Session limit of 2 reached 警告消息。

解决方案 1

解决方案 2

Error:Anyconnect not enabled on VPN server while trying to connect anyconnect to ASA

解决方案

Error: - %ASA-6-722036 ：Group client-group User xxxx IP x.x.x.x Transmitting large packet 1220 (threshold 1206)

解决方案

Error:安全网关拒绝代理程序的VPN连接或重新连接请求。

解决方案

Error:“无法更新会话管理数据库”

解决方案

Error:"The VPN client driver has encountered an error"

解决方案

Error:“无法处理从xxx.xxx.xxx.xxx的答复”

解决方案

Error:“请登陆已拒绝，未授权的连接机制，与您的管理员联系”

解决方案

Error:“损坏Anyconnect的包不可用或。与您的系统管理员联系”

解决方案

Error:“在安全网关的AnyConnect包不能查找”

解决方案

Error:“通过远程桌面不支持安全VPN”

解决方案

Error:“服务器证书接收的或其一系列不遵照FIP。VPN连接不会被建立”

解决方案

Error:“证书确认失败”

解决方案

Error:“VPN Agent服务遇到了问题并且需要关闭。我们很抱歉不便”

解决方案

Error:“不能打开此安装包。验证包存在”

解决方案

Error:“应用转换的错误。验证指定的转换路径有效”。

解决方案

Error:"The VPN client driver has encountered an error"

解决方案

Error:“VPN重新连接导致另外配置设置。VPN网络设置重初始化。使用私有网络的应用程序可能需要恢复”。

解决方案

AnyConnect错误，当登录时

解决方案

IE代理设置没有恢复，在Windows 7后的AnyConnect断开

解决方案

Error:AnyConnect精华不可能启用，直到所有这些会话关闭。

解决方案

Error:在Internet Explorer的Internet选项的Connection选项在得到连接隐藏到AnyConnect客户端以后。

解决方案

Error:收到登录失败错误消息的少量用户，当其他能通过AnyConnect VPN成功连接

解决方案

Error:您查看的证书不配比与您尝试查看站点的名称。

解决方案

不能启动从CSD穹顶的AnyConnect从Windows 7计算机

解决方案

没获得AnyConnect的配置文件复制对待机在故障切换以后

解决方案

问题：AnyConnect客户端失败，如果Internet Explorer脱机

解决方案

错误消息：TLSPROTOCOL_ERROR_INSUFFICIENT_BUFFER

解决方案

错误消息：“连接尝试失败由于无效主机条目”

解决方案

Error:“请保证您的服务器证书能通过严格模式，如果配置不间断工作的VPN”

解决方案

相关的思科支持社区讨论
 相关信息

前言

此故障排除情况适用于通过 Cisco AnyConnect VPN 客户端不工作的应用程序。。

前提条件

使用的组件

本文档中的信息基于运行版本 8.x 的 ASA 安全设备。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您使用的是真实网络，请确保您已经了解所有命令的潜在影响。

故障排除过程

此典型的故障排除情况适用于通过基于 Microsoft Windows 的计算机的最终用户的 Cisco AnyConnect VPN 客户端不工作的应用程序。这些部分提出以下问题并提供这些问题的解决方案：

安装和虚拟适配器问题
连接断开或无法建立初始连接
关于通过流量的问题
AnyConnect 崩溃问题
分段/通过流量问题
AnyConnect 延迟问题

安装和虚拟适配器问题

完成这些步骤：

获取设备日志文件：
- Windows XP/Windows 2000：
```
\Windows\setupapi.log
```
- Windows Vista：
  
  注意： 必须使隐藏文件夹可见，以便可以看到这些文件。
```
\Windows\Inf\setupapi.app.log 
    \Windows\Inf\setupapi.dev.log
```
如果在 setupapi 日志文件中看到错误，您可以将冗余设置为 0x2000FFFF，如 Windows 知识库文章中所述。注意，文章中说明将其设置为 0xFFFF，但是，如果添加高位值 0x2，则记录会更快速。
获取 MSI 安装程序日志文件：

如果这是初始 Web 部署安装，则此日志位于每位用户的临时目录中。
- Windows XP/Windows 2000：
```
\Documents and Settings\<username>\Local Settings\Temp\
```
- Windows Vista：
```
\Users\<username>\AppData\Local\Temp\
```
如果这是自动升级，则此日志在系统的临时目录中：
```
\Windows\Temp
```
文件名的格式为：anyconnect-win-x.x.xxxx-k9-install-yyyyyyyyyyyyyy.log。获取您要安装的客户端版本的最新文件。根据版本的x.xxxx更改，例如2.0.0343和yyyyyyyyyyyyyyis安装的日期和时间。
获取 PC 系统信息文件：
1. 从命令提示符/DOS 框中键入：
  - Windows XP/Windows 2000：
```
winmsd /nfo c:\msinfo.nfo
```
  - Windows Vista：
```
msinfo32 /nfo c:\msinfo.nfo
```
  注意： 键入此提示符后，请等待。可能需要二到五分钟完成文件。
2. 通过命令提示符获取 systeminfo 文件转储：
  
  Windows XP 和 Windows Vista：
```
systeminfo c:\sysinfo.txt
```

请参阅 AnyConnect：损坏的驱动程序数据库问题，以调试驱动程序问题。

连接断开或无法建立初始连接

如果遇到 AnyConnect 客户端连接问题，例如连接断开或无法建立初始连接，请获取这些文件：

从 ASA 中获取配置文件，以确定配置中是否存在导致连接失败的问题：

从 ASA 的控制台，键入 write net x.x.x.x:ASA Config.txt x.x.x.x是一TFTP server的theIP地址在网络的地方。

或者

从 ASA 的控制台，键入 show running-config。让屏幕上的配置完成，然后剪切并粘贴到文本编辑器并保存。
ASA 事件日志：
1. 要在 ASA 上启用记录 auth、webvpn、ssl 和 svc 事件，请发出以下 CLI 命令：
```
config terminal 
logging enable 
logging timestamp 
logging class auth console debugging 
logging class webvpn console debugging 
logging class ssl console debugging
logging class svc console debugging
```
2. 发起 AnyConnect 会话，并确保可以重现故障。将控制台的日志输出捕获到文本编辑器并保存。
3. 要禁用记录，请发出 no logging enable。
来自客户端 PC 的 Windows 事件查看器的 Cisco AnyConnect VPN 客户端日志：
1. 选择Start > Run。
2. 输入：
```
eventvwr.msc /s
```
3. 右键单击 Cisco AnyConnect VPN 客户端日志，并选择将日志文件保存为 AnyConnect.evt。
  
  注意： 始终将其保存为 .evt 文件格式。

如果用户不能连接 AnyConnect VPN 客户端，问题也许与在客户端 PC 上建立的 RDP 会话或启用的快速用户切换有关。用户可以看到 AnyConnect profile settings mandate a single local user, but multiple local users are currently logged into your computer.A VPN connection will not be established 错误消息出现在客户端 PC 上。要解决此问题，请断开所有已建立的 RDP 会话并禁用快速用户切换。

注意： 确保端口443没有阻塞，因此AnyConnect客户端能连接到ASA。

当用户不能将 AnyConnect VPN 客户端连接到 ASA 时，问题也许由 AnyConnect 客户端版本与 ASA 软件镜像版本不兼容导致。这种情况下，用户会收到此错误消息：The installer was not able to start the Cisco VPN client, clientless access is not available。

要解决此问题，请升级 AnyConnect 客户端版本，以与 ASA 软件镜像兼容。要验证兼容性，请参阅 AnyConnect 客户端发行版本注释的支持的安全设备和软件部分。

当用户不能从 PC 连接到 AnyConnect VPN 客户端时，问题可能由 PC 上的防病毒软件导致。

注意： 在您安装所有第三方防火墙/抗病毒软件前，在计算机必须安装AnyConnect。如果AnyConnect在任何第三方防火墙/抗病毒软件以后安装，则AnyConnect不能连接。为了解决此问题，请禁用个人firewall/AV的所有功能。然后，请做一块零钱在AnyConnect虚拟适配器并且设法重新连接AnyConnect。欲知更多信息，参考Cisco Bug ID CSCsj91840 (仅限注册用户)和CSCti16453 (仅限注册用户)。

当您第一次登录 AnyConnect 时，登录脚本不运行。如果断开连接再次登录，登录脚本会正常运行。这是预料之中的行为。

当您将 AnyConnect VPN 客户端连接到 ASA 时，也许会收到此错误消息：User not authorized for AnyConnect Client access, contact your administrator。

当 ASA 中缺少 AnyConnect 镜像时，将会看到此错误。一旦将镜像加载到 ASA，AnyConnect 就可以正常连接到 ASA。

此错误可以由禁用的数据报传输传送层安全(DTL)解决。去Configuration>远程访问VPN >网络(客户端)访问> AnyConnect连接配置文件并且非选定Enable (event) DTL复选框。这禁用DTL。

当用户断开时， dartbundle文件表示此错误消息：TUNNELPROTOCOLDPDMGR_ERROR_NO_DPD_RESPONSE ：安全网关失败响应到对端死机检测数据包。此错误意味DTL信道被撕毁的归结于dpd失败。调整dpd Keepalive和发出这些命令解决此错误：

webvpn
   svc keepalive 30
   svc dpd-interval client 80
   svc dpd-interval gateway 80

svc Keepalive和svc dpd-interval命令由anyconnect Keepalive和anyconnect DPD间隔命令替换分别在ASA版本8.4(1)和以上如显示此处：

webvpn
anyconnect ssl keepalive 15
anyconnect dpd-interval client 5
anyconnect dpd-interval gateway 5

关于通过流量的问题

当检测到有通过 ASA 使用 AnyConnect 会话通向私有网络的通过流量问题时，请完成这些数据收集步骤：

从控制台获取 show vpn-sessiondb detail svc filter name <username> ASA 命令的输出。如果输出显示 Filter Name:XXXXX，则收集 show access-list XXXXX 的输出。验证访问列表 XXXXX 不会阻塞预计的通信流。
从 AnyConnect VPN Client > Statistics > Details > Export 导出 AnyConnect 统计信息 (AnyConnect-ExportedStats.txt)。
检查 nat 语句的 ASA 配置文件。如果已启用 NAT，则它们必须排除作为 NAT 结果返回到客户端的数据。例如，要对 NAT 排除 (nat 0) 来自 AnyConnect 池的 IP 地址，请在 CLI 上使用：
```
access-list in_nat0_out extended permit ip any 10.136.246.0 255.255.255.0
ip local pool IPPool1 10.136.246.1-10.136.246.254 mask 255.252.0.0
nat (inside) 0 access-list in_nat0_out
```
确定是否需要针对设置启用隧道化默认网关。传统默认网关是非解密流量的最后选用网关。

示例
```
!--- Route outside 0 0 is an incorrect statement.

route outside 0 0 10.145.50.1
route inside 0 0 10.0.4.2 tunneled
```
例如，如果 VPN 客户端需要访问不在 VPN 网关的路由表里的资源，则数据包通过标准的默认网关路由。VPN 网关不需要完成内部路由表来解决此问题。可以在此实例中使用 tunneled 关键字。
如果AnyConnect流量由ASA的检查策略，丢弃请验证。您可能豁免由AnyConnct客户端使用通过实现思科ASA模块化政策架构的特定应用程序。例如，使用以下命令，您可能豁免从免税的小型协议。
```
ASA(config)# policy-map global_policy
ASA(config-pmap)#  class inspection_default
ASA(config-pmap-c)# no inspect skinny
```

AnyConnect 崩溃问题

完成这些数据收集步骤：

确保 Microsoft 实用程序 Dr Watson 已启用。为此，请选择“开始”>“运行”，然后运行 Drwtsn32.exe。对此进行配置并单击 OK：
```
Number of Instructions      : 25
Number of Errors To Save    : 25
Crash Dump Type             :  Mini 
Dump Symbol Table           : Checked
Dump All Thread Contexts    : Checked
Append To Existing Log File : Checked
Visual Notification         : Checked
Create Crash Dump File      : Checked
```
当发生崩溃时，请从 C:\Documents and Settings\All Users\Application Data\Microsoft\Dr Watson 收集 .log 和 .dmp 文件。如果显示这些文件正在使用中，则请使用 ntbackup.exe。
获取来自客户端 PC 的 Windows 事件查看器的 Cisco AnyConnect VPN 客户端日志：
1. 选择Start > Run。
2. 输入：
```
eventvwr.msc /s
```
3. 右键单击 Cisco AnyConnect VPN 客户端日志，并选择将日志文件保存为 AnyConnect.evt。
  
  注意： 始终将其保存为 .evt 文件格式。

分段/通过流量问题

一些应用程序（例如 Microsoft Outlook）不工作。但是，隧道能通过其他流量，例如小 ping。

这可为网络中的分段问题提供线索。用户路由器特别不擅长于数据包分段和重新组装。

尝试调整 ping 的比例缩放设置以查看它是否在某些尺寸失败。例如，ping - l 500、ping - l 1000、ping - l 1500、ping - l 2000。

我们建议您为体验分段的用户配置特殊组，并将此组的 svc mtu 设置为 1200。这允许您修正遇到此问题的用户，而不影响更多的用户群。

问题：

一旦与 AnyConnect 连接，TCP 连接就暂停。

解决方案：

要验证您的用户是否有分段问题，请调整 ASA 上 AnyConnect 客户端的 mtu。

 ASA(config)#group-policy <name> attributes
                          webvpn
                              svc mtu 1200

自动卸载

问题：

一旦连接终止，AnyConnect VPN 客户端就自行卸载。

客户端日志显示“保持已安装”设置为已禁用。

解决方案：

尽管在自适应安全设备管理器 (ASDM) 上选择了保持已安装选项，AnyConnect 仍自行卸载。要解决此问题，请根据组策略配置 svc keep-installer installed 命令。

AnyConnect 延迟问题

问题：

在 AnyConnect VPN 客户端上看到延迟问题。

解决方案：

数据报传输层安全 (DTLS) 避免与一些仅 SSL 连接（包括 AnyConnect 连接）关联的延迟和带宽问题，并改进对数据包延迟敏感的实时应用程序的性能。DTLS 允许建立 SSL VPN 连接的 AnyConnect 客户端使用两个同步隧道，SSL 隧道和 DTLS 隧道。

如果使用 DTLS，则可避免与某些 SSL 连接关联的延迟和带宽问题，并改进对数据包延迟敏感的实时应用程序的性能。DTLS 是基于标准的 SSL 协议，提供使用 UDP 的低延迟数据路径。可以用 svc dtls enable 命令启用 DTLS，如下所示：

hostname(config)#group-policy sales attributes

hostname(config-group-policy)#webvpn

hostname(config-group-webvpn)#svc dtls enable

此外，如果禁用 compression 和 df-bit-ignore，则延迟和带宽问题将会减少。可以启用 df-bit-ignore 并禁用 compression，如下所示：

hostname(config)#group-policy <name> attributes
hostname(config-group-policy)#webvpn
hostname(config-group-webvpn)#svc df-bit-ignore enable
hostname(config-group-webvpn)#svc routing-filtering-ignore enable
hostname(config-group-webvpn)#svc mtu 1200
hostname(config-group-webvpn)#svc compression none

并且，在允许UDP端口的ASA的正在修改的外部ACL 443将解决延时问题。

问题：

Anyconnect需要一非常很长时间连接。

解决方案：

在浏览器的代理配置是将引起缓慢问题的已知问题。其中一应急方案是设置客户端忽略它。启用“旁路代理” Anyconnect配置文件的，以便能消除问题。

添加以下线路到AnyConnect配置文件。

<ProxySettings>IgnoreProxy</ProxySettings>

发出填充团星FQDN

问题：AnyConnect客户端事前填充与主机名而不是集群fqdn。

当您有SSL的VPN和客户端尝试一个负载均衡集群设置连接集群时，请求顺利地重定向对节点ASA和客户端登录。在一些时间以后，当连接的客户端再试一次对集群，集群fqdn在对”条目的“连接看不到。反而，客户端重定向的节点ASA条目被看到。

解决方案

这发生，因为AnyConnect客户端保留为时连接的主机名。此行为被观察，并且归档了bug。关于关于bug的完整详细信息，参考Cisco Bug ID CSCsz39019 (仅限注册用户)。升级思科AnyConnect到2.5是建议的应急方案。

备份服务器列表配置

万一用户选择的主服务器不可及的，备份服务器列表配置。这在AnyConnect配置文件的“备份服务器”窗格定义。完成这些步骤：

下载AnyConnect配置文件编辑器(仅限注册用户)。文件名是AnyConnectProfileEditor2_4_1.jar。
使用AnyConnect配置文件编辑器，创建XML文件。
1. 去服务器列表选项卡。
2. 单击 Add。
3. 键入在Hostname Field的主服务器。
4. 在主机地址字段的备份服务器列表之下添加备份服务器。然后，请单击添加。
一旦有XML文件，您需要分配它对您在ASA使用的连接。
1. 在ASDM，请选择Configuration>远程访问VPN >网络(客户端)访问> AnyConnect连接配置文件。
2. 选择您的配置文件并且单击编辑。
3. 单击从默认组策略部分管理。
4. 选择您的组政策并且单击编辑。
5. 选择先进然后单击SSL VPN客户端。
6. 单击 New。然后，您需要键入一名称对于配置文件和分配XML文件。
联络客户端给会话为了下载XML文件。

AnyConnect ：损坏的驱动程序数据库问题

SetupAPI.log 文件中的此条目表示目录系统损坏：

W239 驱动程序签署类别列表 " C:\WINDOWS\INF\certclas.inf" was missing or invalid.Error 0xfffffde5:Unknown Error.，假设所有设备类别都遵循驱动程序签署策略。

您还可能会收到以下错误消息：Error(3/17) ：Unable to start VA, setup shared queue, or VA gave up shared queue。

并且客户端可能出现此日志："The VPN client driver has encountered an error"

修复

此问题归结于 Cisco Bug ID CSCsm54689（仅限注册用户）。要解决此问题，请确保在您启动 AnyConnect 前已禁用路由和远程访问服务。如果这不能解决问题，请完成这些步骤：

以 PC 管理员身份打开命令提示符（在 Vista 上为提升的命令提示符）。
运行 net stop CryptSvc。

运行：

esentutl /p%systemroot%\System32\catroot2\
{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\catdb

出现提示时，选择 OK 尝试修复。
退出命令提示符。
重新启动。

如果修复失败

如果修复失败，请完成这些步骤：

以 PC 管理员身份打开命令提示符（在 Vista 上为提升的命令提示符）。
运行 net stop CryptSvc。
重命名 %WINDIR%\system32\catroot2 to catroot2_old 目录。
退出命令提示符。
重新启动。

分析数据库

您可以随时分析数据库以确定它是否有效。

以 PC 管理员身份打开命令提示符。
运行：
```
esentutl /g%systemroot%\System32\catroot2\
{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\catdb
```
有关详细信息，请参阅系统目录数据库完整性。

注意： 参考的asapedia 欲知更多信息。

错误消息

Error:Unable to Update the Session Management Database

当 SSL VPN 通过 Web 浏览器连接时，将会出现 Unable to Update the Session Management Database.错误消息，并且 ASA 日志显示 %ASA-3-211001:Memory allocation Error。可适应安全工具失败分配RAM系统内存。

解决方案 1

此问题归结于 Cisco Bug ID CSCsm51093（仅限注册用户）。要解决此问题，请重新加载 ASA 或将 ASA 软件升级到 Bug 中提及的临时版本。有关详细信息，请参阅 Cisco Bug ID CSCsm51093（仅限注册用户）。

解决方案2

如果使用，此问题可能由在ASA的禁用的威胁检测也解决威胁检测。

Error:"Module c:\Program Files\Cisco\Cisco AnyConnect VPN Client\vpnapi.dll failed to register"

在便携式计算机或 PC 上使用 AnyConnect 客户端时，在安装期间出现错误：

"Module C:\Program Files\Cisco\Cisco AnyConnect VPN Client\vpnapi.dll failed to register..."

遇到此错误时，安装程序无法继续，将删除客户端。