Este documento describe los problemas de Cisco Secure Client con fallas y desconexiones de aplicaciones en Windows, macOS y Linux.
Antes de utilizar este documento, asegúrese de que dispone de:
La información de este documento se basa en:
La información que contiene este documento se creó a partir de los dispositivos en un ambiente de laboratorio específico. Todos los dispositivos que se utilizan en este documento se pusieron en funcionamiento con una configuración verificada (predeterminada). Si tiene una red en vivo, asegúrese de entender el posible impacto de cualquier comando.
Revise la sección Solución de problemas de Cisco Secure Client en la guía del administrador del producto.
Este documento detalla los problemas de Cisco Secure Client VPN (incluido AnyConnect), incluidos los fallos de aplicaciones, las desconexiones inesperadas y los errores comunes en las configuraciones de cabecera de Windows, macOS, Linux y Cisco ASA/FTD.
Esto incluye el cliente VPN en Windows, macOS y Linux, incluida la configuración de cabecera en Cisco ASA y el acceso remoto Cisco Secure Firewall Threat Defense (FTD). VPN.
Consejo: Antes de solucionar problemas, recopile un paquete DART de Cisco Secure Client. Puede analizar las salidas DART con la tarea BDB del analizador DART.
Revise estas secciones para abordar problemas y soluciones comunes:
Recopile datos del cliente y de la cabecera antes de cambiar la configuración. El TAC suele solicitar un paquete DART.
configure terminal logging enable logging timestamp logging class auth console debugging logging class webvpn console debugging logging class ssl console debugging logging class anyconnect console debuggingReproduzca el fallo, capture la salida y, a continuación, no active el registro.
En FMC/CDO, exporte la política VPN de acceso remoto y la configuración del perfil de conexión. Recopile los registros de conexión / VPN SSL de FTD para la ventana de falla.
Si falla la instalación o la instalación del adaptador virtual, recopile:
%SystemRoot%\Inf\setupapi.dev.log %SystemRoot%\Inf\setupapi.setup.log
msiexec /i cisco-secure-client-win-<version>-predeploy-k9.msi /lvx %TEMP%\ac-install.log
Para ver los errores de la base de datos de controladores, consulte Cisco Secure Client: Problema de base de datos de controladores dañados y la sección de la guía del administrador El controlador de cliente VPN encuentra un error (después de una actualización de Microsoft Windows).
Si experimenta problemas de conexión con Cisco Secure Client, recopile los datos por Recopilar información para la resolución de problemas antes de cambiar la configuración.
Si el usuario no se puede conectar, el problema puede estar relacionado con el protocolo de escritorio remoto (RDP) o el cambio rápido de usuario. El usuario puede ver: La configuración del perfil de AnyConnect exige un único usuario local, pero varios usuarios locales han iniciado sesión en el equipo. No se puede establecer una conexión VPN.
Desconecte las sesiones RDP y desactive Fast User Switching. No se admiten varios usuarios locales simultáneos en la misma máquina para el establecimiento de VPN.
Cuando un usuario no puede conectarse, el problema puede deberse a la incompatibilidad entre la versión de Cisco Secure Client y el software de cabecera. El usuario puede recibir: El instalador no pudo iniciar el cliente VPN de Cisco, el acceso sin cliente no está disponible. Actualice el cliente a una versión compatible con su implementación de VPN de acceso remoto de ASA o FTD.
Cuando inicia sesión por primera vez en Cisco Secure Client, la secuencia de comandos de inicio de sesión puede tener problemas. Si se desconecta y vuelve a iniciar sesión, la secuencia de comandos de inicio de sesión suele ejecutarse según lo esperado. Este comportamiento puede esperarse dependiendo del perfil y la sincronización del script.
Cuando se conecte, podrá recibir: User not authorized for AnyConnect Client access, contact your administrator (Usuario no autorizado a acceder al cliente AnyConnect. Comuníquese con su administrador). Esto se observa a menudo cuando la imagen de Secure Client no aparece en la cabecera. Cargue la imagen de cliente correcta y haga referencia a ella en la configuración de VPN de RA / WebVPN.
DART puede mostrar TUNNELPROTOCOLDPDMGR_ERROR_NO_DPD_RESPONSE cuando el canal DTLS se interrumpe debido a un error de detección de punto muerto (DPD). Ajuste de keepalives en ASA:
webvpn anyconnect ssl keepalive 15 anyconnect dpd-interval client 5 anyconnect dpd-interval gateway 5
Desactivar DTLS solo como prueba temporal (ASDM: Configuration > Remote Access VPN > Network (Client) Access > AnyConnect Connection Profiles, desmarque Enable DTLS, o FMC equivalent). Prefiera fijar el tiempo DPD y permitir UDP 443.
Cuando se detectan problemas al pasar el tráfico a la red privada con una sesión de Cisco Secure Client a través de ASA, complete estos pasos de recopilación de datos:
access-list in_nat0_out extended permit ip any 10.136.246.0 255.255.255.0 ip local pool IPPool1 10.136.246.1-10.136.246.254 mask 255.252.0.0 nat (inside) 0 access-list in_nat0_out
route outside 0 0 10.145.50.1 route inside 0 0 10.0.4.2 tunneled
ASA(config)# policy-map global_policy ASA(config-pmap)# class inspection_default ASA(config-pmap-c)# no inspect skinny
Complete estos pasos para recopilar datos:
Algunas aplicaciones, como Microsoft Outlook, no funcionan mientras el túnel pasa tráfico más pequeño como pequeños pings. Esto puede indicar fragmentación en el trayecto. Los routers de consumo suelen ser deficientes en cuanto a fragmentación y reensamblado.
Pruebe un conjunto de pings de escala: ping -l 500, ping -l 1000, ping -l 1500, ping -l 2000.
Configure una política de grupo dedicada para los usuarios afectados y establezca una MTU inferior:
group-policy <name> attributes webvpn anyconnect mtu 1200
Problema
Cisco Secure Client se desinstala después de que finalice la conexión aunque la opción keep installed aparece seleccionada en ASDM/FMC.
Solución
group-policy <name> attributes webvpn anyconnect keep-installer installed
Problema: El cliente de AnyConnect se completa previamente con el nombre del host en lugar del nombre de dominio totalmente calificado (FQDN) del clúster.
Cuando tiene un clúster de equilibrio de carga para SSL VPN y el cliente se conecta, la solicitud puede redirigirse a un nodo de clúster y el inicio de sesión se realiza correctamente. En un intento de conexión posterior, el FQDN del clúster no aparece en Conectar a; en su lugar, puede aparecer el último nombre de host del nodo.
Solución
El cliente almacena en caché el último nombre de host correcto. Borre las entradas almacenadas en caché o establezca el FQDN del clúster en la lista de servidores de perfiles. Verifique en Cisco Secure Client 5.x. Consulte Cisco bug ID CSCsz39019 para ver las notas específicas de la plataforma.
Se configura una lista de servidores de respaldo cuando el servidor primario es inalcanzable. Defina el perfil en el panel Backup Server del perfil de cliente. Complete estos pasos:
Esta entrada del archivo SetupAPI.log sugiere que el sistema de catálogo está dañado:
Falta la lista de clase de firma del driver W239 “C:\WINDOWS\INF\certclas.inf” o no es válida. Error 0xfffffde5: Error desconocido., suponiendo que todas las clases de dispositivos están sujetas a la directiva de firmas de controladores. También puede recibir: Error (3/17): Unable to start VA, setup shared queue, or VA gave up shared queue (No es posible iniciar el adaptador virtual [VA]; hay una cola de configuración compartida o VA abandonó la cola compartida).
Y puede recibir este registro en el cliente: "The VPN client driver has encountered an error" (Error en el controlador del cliente VPN).
Este problema está relacionado con el Id. de error de Cisco CSCsm54689. Deshabilite el Servicio de enrutamiento y acceso remoto (RRAS) antes de iniciar Cisco Secure Client. Si el problema persiste:
esentutl /p%systemroot%\System32\catroot2\
{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\catdb Si la reparación falla:
Puede analizar la base de datos en cualquier momento para determinar si es válida.
esentutl /g%systemroot%\System32\catroot2\
{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\catdb Este error puede aparecer durante la autenticación SSL VPN basada en explorador o en el portal web. El cliente o el portal muestran No se puede actualizar la base de datos de administración de sesiones. El ASA puede registrar %ASA-3-211001: Memory allocation Error. The adaptive security appliance failed to allocate RAM system memory (Error de asignación de memoria. Adaptive Security Appliance no pudo asignar memoria RAM del sistema).
Relacionado con el Id. de bug Cisco CSCsm51093. Recargue el ASA o actualice a una versión fija según el bug. En FTD, verifique los límites de la memoria de la plataforma y de la sesión VPN de RA.
Memoria libre de cabecera:
Durante la instalación en Windows, el instalador informa de que un módulo (por ejemplo, vpnapi.dll) no se ha registrado y se revierte.
Cuando los clientes se conectan con Cisco Secure Client, el gateway devuelve un error como "Clase de dirección ilegal", "El host o la red es 0", o "Otro error".
El conjunto de IP local de ASA o FTD está agotado o mal configurado. Expanda el conjunto de direcciones VPN y utilice una máscara adecuada (por ejemplo, /24 en lugar de un conjunto sólo /32). Consulte Cisco bug ID CSCsl82188.
El cliente informa que AnyConnect / Secure Client no está habilitado en el servidor VPN.
Active la VPN de acceso remoto e implemente una imagen de cliente seguro en la cabecera. En ASA: Configuration > Remote Access VPN > Network (Client) Access > AnyConnect Connection Profiles. En FTD: configure la VPN RA y la imagen del cliente en FMC. Utilice una guía de VPN de acceso remoto, no una configuración WebVPN-only sin cliente.
El %ASA-6-722036: Group < client-group > User < xxxx > IP < x.x.x.x> Transmitting large packet 1220 (threshold 1206) message aparece en los registros de ASA.
Se envió un paquete grande al cliente (MTU o datos no compresibles). Inhabilite la compresión para la política de grupo:
group-policy <name> attributes webvpn anyconnect compression none
Entre los ejemplos se incluyen no assign address, Host or network is 0 o No License en el mensaje del gateway.
Verifique que la cabecera tenga un conjunto local IP configurado y una asignación de dirección de política de grupo después de la recarga o conmutación por fallas:
show running-config | include pool ip local pool SSLPOOL 192.168.30.2 192.168.30.254 anyconnect address-pool SSLPOOL
En el caso de Sin licencia, instale o habilite la licencia de movilidad de Secure Client necesaria en la cabecera.
Por lo general, el fallo del adaptador virtual, el conflicto RRAS o el problema del controlador posterior a Windows Update.
Cisco Secure Client no puede conectarse con No se puede procesar la respuesta de <gateway>.
Consulte Configuración del cliente SSL VPN en ASA. Recopile DART si el error persiste.
Cisco Secure Client muestra Login Denied (Inicio de sesión denegado), mecanismo de conexión no autorizado, póngase en contacto con el administrador.
Revise el perfil de conexión y la autenticación en la cabecera (ASA o FTD). Asegúrese de que el método de autenticación del cliente (RADIUS, SAML, certificado, etc.) coincida con el perfil. Verifique la política de grupo y la asignación de grupo de túnel.
Este error puede aparecer al iniciar Cisco Secure Client desde un cliente Macintosh.
webvpn anyconnect image disk0:/cisco-secure-client-macos-<version>-predeploy-k9.pkg 2
En Linux (u otras plataformas), el cliente no puede descargar el paquete desde la cabecera.
"The AnyConnect package on the secure gateway could not be located. You may be experiencing network connectivity issues. Please try connecting again."
Verifique que el sistema operativo del cliente sea compatible y que la imagen correcta esté configurada en la cabecera:
webvpn anyconnect image disk0:/cisco-secure-client-win-<version>-predeploy-k9.pkg 1 anyconnect image disk0:/cisco-secure-client-macos-<version>-predeploy-k9.pkg 2
Consulte Paquete AnyConnect no disponible o dañado para ver los pasos relacionados.
Los usuarios ven Secure VPN a través del escritorio remoto no es compatible.
Actualice a una versión Cisco Secure Client 5.x compatible. Consulte Cisco bug ID CSCsu2088 y Cisco bug ID CSCso42825.
El cliente informa de que el certificado o la cadena del servidor no cumple con FIPS.
Si se requiere FIPS en el terminal, utilice los certificados compatibles con FIPS en la cabecera. Si no es necesario, edite el archivo C:\ProgramData\Cisco\Cisco Secure Client\AnyConnectLocalPolicy.xml y establezca <FipsMode>false</FipsMode> y, a continuación, reinicie el equipo (se requieren derechos de administrador).
Los usuarios no pueden iniciar Cisco Secure Client y recibir Certificate Validation Failure.
Para la autenticación de certificados, importe el certificado de cliente, configure el perfil para la autenticación de certificados y, en ASA, habilite:
ssl certificate-authentication interface outside port 443
Asegúrese de que el certificado del servidor coincida con el FQDN en la lista de servidores del perfil.
El servicio vpnagent.exe falla durante la instalación, la actualización o la conexión.
La implementación web produce un error de Windows Installer: el paquete no se pudo abrir.
La descarga automática de la cabecera falla, a veces debido a una transformación MST dañada.
Este mensaje puede aparecer después de la reconexión cuando cambie la configuración de la cabecera pulsada.
group-policy <Name> attributes webvpn anyconnect mtu 1200
Problema: La conexión VPN no se permite a través de un proxy local. Esto se puede cambiar mediante la configuración del perfil de AnyConnect.
<ProxySettings>IgnoreProxy</ProxySettings> <AllowLocalProxyConnections>false</AllowLocalProxyConnections>
ASDM muestra las sesiones VPN SSL sin cliente en curso al habilitar AnyConnect Essentials.
AnyConnect Essentials no se puede ejecutar simultáneamente con la licencia VPN SSL compartida Premium. Finalice las sesiones VPN SSL sin cliente antes de activar Essentials. Essentials no incluye VPN SSL sin cliente.
Algunos usuarios reciben Login Failed mientras que otros pueden conectarse.
Asegúrese de que no requiere autenticación previa (o equivalente) esté configurado correctamente para los usuarios afectados. Compare la política de grupo y la asignación del perfil de conexión.
Durante la actualización del perfil en Windows, la validación del certificado falla en la URL de conexión.
<ServerList>
<HostEntry>
<HostName>vpn1.example.com</HostName>
</HostEntry>
</ServerList>
Nota: Quite las entradas <HostAddress> que utilizan la dirección IP pública si el certificado es solo FQDN.
Después de la conmutación por error de ASA, los archivos relacionados con el perfil de Secure Client faltan en la unidad en espera.
Consulte Cisco bug ID CSCtn7162. Solución alternativa: copie manualmente los archivos de perfil en el modo de espera. Verifique la sincronización de la configuración de stateful failover para los perfiles VPN RA.
Cisco Secure Client no puede conectarse con No se puede establecer una conexión. El registro de eventos muestra TLSPROTOCOL_ERROR_INSUFFICIENT_BUFFER.
Esto ocurre con una lista de túnel dividido muy grande (aproximadamente 180-200 entradas) más otros atributos de política de grupo (por ejemplo, dns-server).
group-policy groupName attributes webvpn anyconnect ssl dtls none
Consulte Cisco bug ID CSCtc41770.
Error en el intento de conexión debido a una entrada de host no válida durante la autenticación del certificado.
Consulte Cisco bug ID CSCti7316.
Cuando está habilitado Always-On, el cliente puede informar que los certificados de servidor deben pasar el modo estricto.
Always-On requiere un certificado de cabecera válido que coincida con la URL de conexión. El modo de certificado estricto en la directiva local genera un error si el certificado no es de confianza o no coincide.
Consulte Certificado por una Autoridad Desconocida en la Guía del Administrador de Secure Client 5.1.
DART puede mostrar errores de HttpSendRequest y Se produjo un error interno en los servicios HTTP de Microsoft Windows con errores de CTransportWinHttp.
Esto puede deberse a un estado de Winsock dañado. Desde un símbolo del sistema con privilegios elevados: netsh winsock reset
Reinicie Windows y consulte Microsoft Guidance on Resettings Winsock.
Cisco Secure Client DART puede mostrar los errores CTransportWinHttp y CTransPORT_ERROR_SECURE_CHANNEL_FAILURE cuando falla la negociación de cifrado o TLS entre el cliente y la cabecera.
ssl cipher tlsv1.2 custom "AES256-GCM-SHA384:AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256"
| Revisión | Fecha de publicación | Comentarios |
|---|---|---|
3.0 |
23-Jun-2026
|
Ortografía, gramática, estructura de oraciones, introducción, espaciado y alertas de CCW actualizados. |
1.0 |
04-Apr-2018
|
Versión inicial |