Questo documento descrive i problemi di Cisco Secure Client con errori e disconnessioni delle app su Windows, macOS e Linux.
Prima di utilizzare questo documento, verificare di disporre di:
Le informazioni fornite in questo documento si basano su:
Le informazioni discusse in questo documento fanno riferimento a dispositivi usati in uno specifico ambiente di emulazione. Su tutti i dispositivi menzionati nel documento la configurazione è stata ripristinata ai valori predefiniti. Se la rete è operativa, valutare attentamente eventuali conseguenze derivanti dall'uso dei comandi.
Vedere la sezione Risoluzione dei problemi di Cisco Secure Client nella guida per l'amministratore del prodotto.
In questo documento vengono descritti in dettaglio i problemi della VPN Cisco Secure Client (tra cui AnyConnect), inclusi gli errori delle applicazioni, le disconnessioni impreviste e gli errori comuni nelle configurazioni degli headend Windows, macOS, Linux e Cisco ASA/FTD.
Copre il client VPN su Windows, macOS e Linux, compresa la configurazione dell'headend su Cisco ASA e l'accesso remoto Cisco Secure Firewall Threat Defense (FTD). VPN
Suggerimento: Prima di risolvere il problema, raccogliere un bundle Cisco Secure Client DART. È possibile analizzare gli output DART con l'attività BDB di DART Analyzer.
Consultare le sezioni seguenti per risolvere problemi e soluzioni comuni:
Raccogliere i dati del client e dell'headend prima di modificare la configurazione. TAC richiede in genere un bundle DART.
configure terminal logging enable logging timestamp logging class auth console debugging logging class webvpn console debugging logging class ssl console debugging logging class anyconnect console debuggingRiprodurre l'errore, acquisire l'output, quindi non abilitare la registrazione.
Da FMC/CDO, esportare i criteri VPN di Accesso remoto e le impostazioni del profilo di connessione. Raccogliere i registri di connessione/VPN SSL FTD per la finestra di errore.
Se l'installazione o l'installazione della scheda virtuale non riesce, raccogliere:
%SystemRoot%\Inf\setupapi.dev.log %SystemRoot%\Inf\setupapi.setup.log
msiexec /i cisco-secure-client-win-<version>-predeploy-k9.msi /lvx %TEMP%\ac-install.log
Per gli errori del database dei driver, vedere Cisco Secure Client: Problema del database dei driver danneggiato e sezione della guida per l'amministratore in cui viene rilevato l'errore del driver del client VPN (dopo un aggiornamento di Microsoft Windows).
Se si verificano problemi di connessione con Cisco Secure Client, raccogliere i dati per raccolta di informazioni per la risoluzione dei problemi prima di modificare la configurazione.
Se l'utente non è in grado di connettersi, il problema può essere correlato a Remote Desktop Protocol (RDP) o Fast User Switching. L'utente può visualizzare: Le impostazioni del profilo AnyConnect prevedono l'accesso di un singolo utente locale, ma al momento sono connessi più utenti locali. Impossibile stabilire una connessione VPN.
Disconnettere le sessioni RDP e disabilitare Cambio rapido utente. Più utenti locali simultanei non sono supportati sullo stesso computer per la definizione della VPN.
Quando un utente non può connettersi, il problema può essere causato da un'incompatibilità tra la versione di Cisco Secure Client e il software dell'headend. L'utente può ricevere: Impossibile avviare il client VPN Cisco. L'accesso senza client non è disponibile. Aggiornare il client a una versione supportata dalla distribuzione della VPN ad accesso remoto ASA o FTD.
Quando si accede per la prima volta a Cisco Secure Client, lo script di accesso può presentare dei problemi. Se ci si disconnette e si accede di nuovo, lo script di accesso viene spesso eseguito come previsto. Questo comportamento può essere previsto a seconda della tempistica del profilo e dello script.
Quando ci si connette, è possibile ricevere: User not authorized for AnyConnect Client access, contact your administrator. Questa condizione si verifica spesso quando sull'headend manca l'immagine Secure Client. Caricare l'immagine client corretta e farvi riferimento nella configurazione di RSA VPN / WebVPN.
DART può visualizzare TUNNELPROTOCOLDPDMGR_ERROR_NO_DPD_RESPONSE quando il canale DTLS viene disattivato a causa di un errore DPD (Dead Peer Detection). Sintonizzare i pacchetti keepalive sull'appliance ASA:
webvpn anyconnect ssl keepalive 15 anyconnect dpd-interval client 5 anyconnect dpd-interval gateway 5
Disabilitare DTLS solo come test temporaneo (ASDM: Configurazione > VPN ad accesso remoto > Accesso di rete (client) > Profili di connessione AnyConnect, deselezionare Attiva DTLS o equivalente a FMC. Preferire la correzione della temporizzazione DPD e consentire UDP 443.
Quando vengono rilevati problemi di passaggio del traffico alla rete privata con una sessione Cisco Secure Client tramite l'ASA, attenersi alla seguente procedura di raccolta dati:
access-list in_nat0_out extended permit ip any 10.136.246.0 255.255.255.0 ip local pool IPPool1 10.136.246.1-10.136.246.254 mask 255.252.0.0 nat (inside) 0 access-list in_nat0_out
route outside 0 0 10.145.50.1 route inside 0 0 10.0.4.2 tunneled
ASA(config)# policy-map global_policy ASA(config-pmap)# class inspection_default ASA(config-pmap-c)# no inspect skinny
Procedere come segue alla raccolta dei dati:
Alcune applicazioni, ad esempio Microsoft Outlook, non funzionano mentre il tunnel trasmette traffico ridotto, ad esempio piccoli ping. Ciò può indicare una frammentazione sul percorso. I router consumer sono spesso inadatti alla frammentazione e al riassemblaggio.
Provare a ridimensionare i ping: ping -l 500, ping -l 1000, ping -l 1500, ping -l 2000.
Configurare un criterio di gruppo dedicato per gli utenti interessati e impostare un valore MTU inferiore:
group-policy <name> attributes webvpn anyconnect mtu 1200
Problema
Cisco Secure Client si disinstalla dopo la chiusura della connessione anche se l'opzione Mantieni installazione è selezionata in ASDM/FMC.
Soluzione
group-policy <name> attributes webvpn anyconnect keep-installer installed
Problema: Il client AnyConnect è precompilato con il nome host anziché con il nome di dominio completo (FQDN) del cluster.
Quando si dispone di un cluster di bilanciamento del carico per VPN SSL e il client si connette, la richiesta può essere reindirizzata a un nodo del cluster e l'accesso ha esito positivo. In un tentativo di connessione successivo, l'FQDN del cluster non viene visualizzato in Connetti a; in alternativa, è possibile visualizzare il nome host dell'ultimo nodo.
Soluzione
Il client memorizza nella cache l'ultimo nome host corretto. Cancellare le voci memorizzate nella cache o impostare il nome di dominio completo (FQDN) del cluster nell'elenco dei server dei profili. Verifica su Cisco Secure Client 5.x. Per le note specifiche sulla piattaforma, vedere l'ID bug Cisco CSCsz39019.
Quando il server primario non è raggiungibile, viene configurato un elenco di server di backup. Definirlo nel riquadro Server di backup del profilo client. Attenersi alla seguente procedura:
Questa voce nel file SetupAPI.log suggerisce che il sistema di catalogo è danneggiato:
L'elenco della classe di firma del driver W239 genera il messaggio di errore "C:\WINDOWS\INF\certclas.inf" was missing or invalid. Error 0xfffffde5: Errore sconosciuto., presupponendo che tutte le classi di dispositivo siano soggette ai criteri di firma del driver. È inoltre possibile ricevere: Error(3/17): Unable to start VA, setup shared queue, or VA gave up shared queue.
E si può ricevere questo log sul client: "The VPN client driver has encountered an error".
Questo problema è correlato all'ID bug Cisco CSCsm54689. Disabilitare il servizio di routing e accesso remoto (RRAS) prima di avviare Cisco Secure Client. Se il problema persiste:
esentutl /p%systemroot%\System32\catroot2\
{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\catdb Se la riparazione non riesce:
È possibile analizzare il database in qualsiasi momento per determinarne la validità.
esentutl /g%systemroot%\System32\catroot2\
{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\catdb È possibile che questo errore venga visualizzato durante l'autenticazione della VPN SSL o del portale Web basata su browser. Nel client o nel portale viene visualizzato il messaggio Impossibile aggiornare il database di gestione delle sessioni. L'appliance ASA può registrare %ASA-3-211001: Memory allocation Error. The adaptive security appliance failed to allocate RAM system memory.
Relativamente all'ID bug Cisco CSCsm51093. Ricaricare l'ASA o aggiornare il sistema a una versione corretta in base al bug. In FTD verificare i limiti della memoria della piattaforma e della sessione VPN dell'agente di registrazione.
Memoria headend libera:
Durante l'installazione in Windows, il programma di installazione segnala che un modulo (ad esempio vpnapi.dll) non è stato registrato ed è stato ripristinato.
Quando i client si connettono con Cisco Secure Client, il gateway restituisce un errore come "Classe di indirizzi non valida", "Host o rete è 0", o "Altro errore".
L'ASA o il pool IP locale FTD è esaurito o non configurato correttamente. Espandere il pool di indirizzi VPN e utilizzare una maschera appropriata (ad esempio /24 anziché un pool solo /32). Vedere l'ID bug Cisco CSCsl82188.
Il client segnala che AnyConnect/Secure Client non è abilitato sul server VPN.
Abilitare la VPN ad accesso remoto e distribuire un'immagine client sicura sull'headend. Su appliance ASA: Configurazione > VPN ad accesso remoto > Accesso di rete (client) > Profili di connessione AnyConnect. Su FTD: configurare la VPN per l'Autorità registrazione integrità e l'immagine del client in FMC. Utilizzare una guida VPN ad accesso remoto, non una configurazione WebVPN Only senza client.
Il messaggio di errore %ASA-6-722036: Group < client-group > User < xxxx > IP < x.x.x.x> Transmitting large packet 1220 (soglia 1206) viene visualizzato nei log ASA.
Al client è stato inviato un pacchetto di grandi dimensioni (MTU o dati non comprimibili). Disabilitare la compressione per i Criteri di gruppo:
group-policy <name> attributes webvpn anyconnect compression none
Gli esempi includono nessun indirizzo assegnato, host o rete impostata su 0 o Nessuna licenza nel messaggio del gateway.
Verificare che l'headend disponga di un pool locale IP configurato e di un'assegnazione di indirizzi di Criteri di gruppo dopo il ricaricamento o il failover:
show running-config | include pool ip local pool SSLPOOL 192.168.30.2 192.168.30.254 anyconnect address-pool SSLPOOL
Per Nessuna licenza, installare o abilitare la licenza di mobilità Secure Client richiesta sull'headend.
In genere, l'errore della scheda virtuale, il conflitto RRAS o il problema del driver successivo a Windows Update.
Cisco Secure Client non riesce a connettersi con Unable to process response from <gateway>.
Vedere configurazione del client VPN SSL sull'appliance ASA. Se l'errore persiste, selezionare DART.
Cisco Secure Client visualizza Accesso negato, meccanismo di connessione non autorizzato, contattare l'amministratore.
Rivedere il profilo di connessione e l'autenticazione sull'headend (ASA o FTD). Verificare che il metodo di autenticazione client (RADIUS, SAML, certificato e così via) corrisponda al profilo. Verificare i criteri di gruppo e l'assegnazione dei gruppi di tunnel.
Questo errore può essere visualizzato quando si avvia Cisco Secure Client da un client Macintosh.
webvpn anyconnect image disk0:/cisco-secure-client-macos-<version>-predeploy-k9.pkg 2
Su Linux (o altre piattaforme), il client non può scaricare il pacchetto dall'headend.
"The AnyConnect package on the secure gateway could not be located. You may be experiencing network connectivity issues. Please try connecting again."
Verificare che il sistema operativo client sia supportato e che l'immagine corretta sia configurata sull'headend:
webvpn anyconnect image disk0:/cisco-secure-client-win-<version>-predeploy-k9.pkg 1 anyconnect image disk0:/cisco-secure-client-macos-<version>-predeploy-k9.pkg 2
Per i passaggi correlati, vedere Pacchetto AnyConnect non disponibile o danneggiato.
Gli utenti vedono VPN protetta tramite desktop remoto non supportata.
Eseguire l'aggiornamento a una versione Cisco Secure Client 5.x supportata. Vedere l'ID bug Cisco CSCsu22088 e l'ID bug Cisco CSCso42825.
Il client segnala che il certificato o la catena del server non è conforme a FIPS.
Se sull'endpoint è richiesto il protocollo FIPS, utilizzare i certificati conformi a FIPS sull'headend. Se non è necessario, modificare il file C:\ProgramData\Cisco\Cisco Secure Client\AnyConnectLocalPolicy.xml e impostare <FipsMode>false</FipsMode>, quindi riavviare (sono necessari i diritti di amministratore).
Gli utenti non possono avviare Cisco Secure Client e ricevere errori di convalida del certificato.
Per l'autenticazione del certificato, importare il certificato client, configurare il profilo per l'autenticazione del certificato e su ASA abilitare:
ssl certificate-authentication interface outside port 443
Verificare che il certificato del server corrisponda all'FQDN nell'elenco dei server dei profili.
Il servizio vpnagent.exe non riesce durante l'installazione, l'aggiornamento o la connessione.
Distribuzione Web non riuscita. Errore di Windows Installer durante l'apertura del pacchetto.
Il download automatico dall'headend non riesce, a volte a causa di una trasformazione MST danneggiata.
È possibile che questo messaggio venga visualizzato dopo la riconnessione quando le impostazioni Push dell'headend vengono modificate.
group-policy <Name> attributes webvpn anyconnect mtu 1200
Problema: Connessione VPN non consentita tramite un proxy locale. È possibile modificare questa impostazione tramite le impostazioni del profilo AnyConnect.
<ProxySettings>IgnoreProxy</ProxySettings> <AllowLocalProxyConnections>false</AllowLocalProxyConnections>
ASDM mostra le sessioni VPN SSL senza client in corso quando si abilita AnyConnect Essentials.
AnyConnect Essentials non può essere eseguito contemporaneamente alla licenza VPN SSL condivisa Premium. Terminare le sessioni VPN SSL senza client prima di abilitare Essentials. Essentials non include VPN SSL senza client.
Alcuni utenti ricevono Accesso non riuscito mentre altri possono connettersi.
Assicurarsi che non richieda la preautenticazione (o equivalente) sia impostata correttamente per gli utenti interessati. Confrontare i mapping dei criteri di gruppo e dei profili di connessione.
Durante l'aggiornamento del profilo in Windows, la convalida del certificato non riesce in base all'URL di connessione.
<ServerList>
<HostEntry>
<HostName>vpn1.example.com</HostName>
</HostEntry>
</ServerList>
Nota: Rimuovere le voci <HostAddress> che utilizzano l'IP pubblico se il certificato è solo FQDN.
Dopo il failover dell'ASA, i file relativi ai profili di Secure Client risultano mancanti sull'unità in standby.
Vedere l'ID bug Cisco CSCtn71662. Per risolvere il problema: copiare manualmente i file di profilo nella modalità standby. Verificare la sincronizzazione della configurazione di failover con stato per i profili VPN RA.
Cisco Secure Client non riesce a connettersi con Impossibile stabilire una connessione. Nel registro eventi viene visualizzato TLSPROTOCOL_ERROR_INSufficient_BUFFER.
Questo si verifica con un elenco di split-tunnel molto grande (circa 180-200 voci) più altri attributi dei criteri di gruppo (ad esempio, dns-server).
group-policy groupName attributes webvpn anyconnect ssl dtls none
Vedere l'ID bug Cisco CSCtc4170.
Tentativo di connessione non riuscito a causa di una voce host non valida durante l'autenticazione del certificato.
Vedere l'ID bug Cisco CSCti73316.
Quando Always-On è abilitato, il client può segnalare che i certificati del server devono passare la modalità rigorosa.
Always-On richiede un certificato headend valido corrispondente all'URL di connessione. Se il certificato non è attendibile o non corrisponde, la modalità Certificato rigido nel criterio locale provoca un errore.
Vedere Certified by an Unknown Authority nel manuale Secure Client 5.1 Administrator Guide.
DART può visualizzare errori HttpSendRequest e si è verificato un errore interno nei servizi HTTP di Microsoft Windows con errori CTransportWinHttp.
Ciò può essere causato da uno stato danneggiato di Winsock. Da un prompt dei comandi con privilegi elevati: netsh winsock reset
Riavviare Windows e vedere la Guida Microsoft per la reimpostazione di Winsock.
Cisco Secure Client DART può mostrare errori CTransportWinHttp e CTransPORT_ERROR_SECURE_CHANNEL_FAILURE quando la negoziazione TLS o cifratura non riesce tra il client e l'headend.
ssl cipher tlsv1.2 custom "AES256-GCM-SHA384:AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256"
| Revisione | Data di pubblicazione | Commenti |
|---|---|---|
3.0 |
23-Jun-2026
|
Controllo ortografico, grammaticale, struttura della frase, introduzione, spaziatura e avvisi CCW aggiornati. |
1.0 |
04-Apr-2018
|
Versione iniziale |