Sommario

Problema

Cisco Secure Client su Ubuntu 24.04 stabilisce una connessione VPN ma si disconnette in pochi secondi. La disconnessione è sempre accompagnata dal codice motivo di terminazione 7 e da arresti anomali che coinvolgono libvpnapi.so, impedendo la connettività VPN stabile necessaria per il normale accesso aziendale.

La sequenza mostra il client che sta raggiungendo lo stato "Connesso" ma che sta tornando immediatamente allo stato Disconnesso durante la verifica dello stato. Sul client VPN viene visualizzato il messaggio "Codice motivo terminazione 7: L'agente è stato arrestato" nei log, insieme alle voci di modifica dello stato del tunnel e ai messaggi che indicano che le connessioni DTLS/SSL sono state interrotte con gli avvisi di "notifica di chiusura".

Questa sequenza di comandi mostra il problema:

/opt/cisco/secureclient/bin/vpn connect

L'output della connessione indica che la connessione è stata stabilita:

Cisco Secure Client (version 5.1.12.146) release.

Copyright (c) 2004 - 2025, Cisco Systems, Inc. All rights reserved.

>> state: Unknown

>> state: Disconnected

>> state: Disconnected

>> notice: Ready to connect.

>> registered with local VPN subsystem.

>> contacting host (vpn.sse.cisco.com) for login information...

>> notice: Contacting vpn.sse.cisco.com.

>> Your client certificate will be used for authentication

Group:

>> state: Connecting

>> notice: Establishing VPN session...

The Cisco Secure Client - Downloader is analyzing this computer. Please wait...

Initializing the Cisco Secure Client - Downloader...

The Cisco Secure Client - Downloader is performing update checks...

The Cisco Secure Client - Downloader update checks have been completed.

>> notice: The Cisco Secure Client - Downloader is performing update checks...

>> notice: Checking for profile updates...

>> notice: Checking for customization updates...

>> notice: Performing any required updates...

>> notice: The Cisco Secure Client - Downloader update checks have been completed.

Please wait while the VPN connection is established...

>> state: Connecting

>> notice: Establishing VPN session...

>> notice: Establishing VPN - Initiating connection...

>> notice: Establishing VPN - Examining system...

>> notice: Establishing VPN - Activating VPN adapter...

>> notice: Establishing VPN - Configuring system...

>> notice: Establishing VPN...

>> state: Connected

Tuttavia, quando si controlla lo stato subito dopo la connessione:

/opt/cisco/secureclient/bin/vpn status

Il client visualizza lo stato disconnesso:

Cisco Secure Client (version 5.1.12.146) release.

Copyright (c) 2004 - 2025, Cisco Systems, Inc. All rights reserved.

>> state: Unknown

>> state: Disconnected

>> state: Disconnected

>> state: Disconnected

>> notice: Ready to connect.

>> registered with local VPN subsystem.

VPN>

Ambiente

- Sistema operativo: Ubuntu 24,04

- Cisco Secure Client versione: 5.1.12.146

- Metodo di autenticazione: Autenticazione certificati client

- Interfaccia virtuale: cscotun0 (o un'interfaccia virtuale Cisco Secure Client simile)

- L'ambiente include script di automazione per la gestione del sistema

Risoluzione

Il problema è stato risolto identificando e correggendo uno script di automazione che identificava in modo errato l'interfaccia virtuale Cisco Secure Client (cscotun0) come nuovo dispositivo fisico e applicando ad esso la configurazione proxy HTTP/trasparente. Le fasi successive illustrano il processo di risoluzione.

Passaggio 1: Raccogli informazioni di diagnostica

Generare bundle DART (Diagnostic and Reporting Tool) dall'endpoint interessato per acquisire informazioni dettagliate sui client VPN e sul sistema:

Generate DART bundle from Cisco Secure Client interface or command line

I bundle DART contengono voci di registro dell'agente VPN che mostrano i passaggi di configurazione dell'interfaccia e del profilo, incluse le impostazioni DNS per l'interfaccia cscotun0, la configurazione della scheda VPN e le modifiche alla tabella di routing.

Mar 13 16:41:08  Message type information sent to

> the user: Contacting vpn.sse.cisco.com.

> Mar 13 16:41:08 : VPN SESSION START: Initiating

> VPN connection to the secure gateway hvpn.sse.cisco.com

> Mar 13 16:41:08 The Cisco Secure Client -

> AnyConnect VPN has obtained the following proxy server configuration from

> the operating system: http://x.x.x.x:3128/

> Mar 13 16:41:08 The Cisco Secure Client -

> AnyConnect VPN has obtained the following proxy exception list from the

> operating system: localhost,127.0.0.0/8,::1

> Mar 13 16:41:11 Termination reason code 7: The

> agent has been stopped.

Passaggio 2: Analizza comportamento script di automazione

Esaminare gli script di automazione locale che gestiscono le interfacce di rete e le configurazioni proxy. Cercare script che rilevino automaticamente le nuove interfacce di rete e applichino i criteri di configurazione.

Passaggio 3: Identifica problema assegnazione proxy

Determinare se gli script di automazione stanno gestendo l'interfaccia virtuale Cisco Secure Client come un nuovo dispositivo fisico e applicando impostazioni proxy inappropriate. All'interfaccia virtuale (cscotun0 o simile) non può essere applicata la configurazione del proxy HTTP/trasparente.

Passaggio 4: Rimozione della configurazione proxy dall'interfaccia virtuale

Rimuovere o correggere l'assegnazione del proxy applicata automaticamente all'interfaccia virtuale Cisco Secure Client dallo script di automazione. In questo modo il proxy non interferisce con il flusso del traffico VPN.

Passaggio 5: Aggiorna logica script di automazione

Modificare lo script di automazione in modo da escludere le interfacce virtuali Cisco Secure Client (in genere denominate cscotun0, cscotun1) dai criteri di configurazione automatica del proxy. Aggiungi la logica per identificare e ignorare le interfacce virtuali VPN durante i processi di configurazione di rete automatizzati.

Passaggio 6: Verifica della connettività VPN

Verificare la connettività VPN dopo aver rimosso la configurazione proxy per confermare la stabilità della connessione:

/opt/cisco/secureclient/bin/vpn connect vpn.sse.cisco.com

Verificare che la connessione rimanga stabile controllando lo stato dopo la connessione:

/opt/cisco/secureclient/bin/vpn status

Passaggi alternativi per la risoluzione dei problemi

Se il problema persiste o si verifica in ambienti simili, prendere in considerazione i seguenti approcci aggiuntivi per la risoluzione dei problemi:

- Test di Cisco Secure Client su un nuovo endpoint Linux senza script di automazione

- Disabilitare temporaneamente i servizi di terze parti che possono interferire con libvpnapi o l'agente VPN

- Aggiorna Cisco Secure Client all'ultima versione disponibile

- Verifica dei registri di sistema per rilevare eventuali conflitti con la creazione e la configurazione dell'interfaccia virtuale VPN

Causa

La causa principale è stata uno script di automazione interno che ha identificato in modo errato l'interfaccia virtuale Cisco Secure Client (cscotun0 o simile) come un nuovo dispositivo di rete fisico. Lo script ha applicato automaticamente la configurazione del proxy HTTP/trasparente a questa interfaccia virtuale, che ha interferito con il flusso del traffico VPN e ha causato l'interruzione della connessione con codice motivo 7.

Quando il client VPN stabilisce una connessione, crea un'interfaccia di rete virtuale per gestire il traffico crittografato. Lo script di automazione ha rilevato la creazione dell'interfaccia come un nuovo dispositivo di rete che si unisce al sistema e ha applicato i criteri proxy standard destinati alle interfacce di rete fisiche. Questa configurazione proxy ha impedito al tunnel VPN di instradare correttamente il traffico crittografato, determinando la disconnessione immediata dopo la connessione.

Il motivo della terminazione è codice 7 ("L'agente è stato arrestato") e libvpnapi.so gli arresti anomali sono stati sintomi dell'interferenza proxy sottostante piuttosto che problemi diretti del software client VPN.

Contenuto correlato

- Supporto tecnico Cisco e download