Dit document beschrijft problemen met Cisco Secure Client met app-fouten en verbreekt de verbinding met Windows, macOS en Linux.
Voordat u dit document gebruikt, moet u ervoor zorgen dat u:
De informatie in dit document is gebaseerd op:
De informatie in dit document is gebaseerd op de apparaten in een specifieke laboratoriumomgeving. Alle apparaten die in dit document worden beschreven, hadden een opgeschoonde (standaard)configuratie. Als uw netwerk live is, moet u zorgen dat u de potentiële impact van elke opdracht begrijpt.
Bekijk de probleemoplossing voor Cisco Secure Client in de handleiding voor productbeheerders.
In dit document worden Cisco Secure Client VPN-problemen (waaronder AnyConnect) beschreven, waaronder toepassingsfouten, onverwachte verbroken verbindingen en veelvoorkomende fouten in Windows-, macOS-, Linux- en Cisco ASA/FTD-headendconfiguraties.
Dit omvat de VPN-client op Windows, macOS en Linux, inclusief headendconfiguratie op Cisco ASA en Cisco Secure Firewall Threat Defense (FTD) Remote Access. VPN.
Tip: verzamel voordat u problemen oplost een DART-bundel voor Cisco Secure Client. U kunt DART-uitgangen analyseren met de DART Analyzer BDB-taak.
Bekijk deze secties om gemeenschappelijke problemen en oplossingen aan te pakken:
Verzamel client- en headendgegevens voordat u de configuratie wijzigt. TAC vraagt meestal een DART-bundel aan.
configure terminal logging enable logging timestamp logging class auth console debugging logging class webvpn console debugging logging class ssl console debugging logging class anyconnect console debuggingReproduceer de fout, leg de uitvoer vast en schakel geen logboekregistratie in.
Exporteer vanuit FMC/CDO het beleid voor externe toegang en de instellingen voor het verbindingsprofiel. Verzamel FTD SSL/VPN-verbindingslogs voor het storingsvenster.
Als de installatie of installatie van de virtuele adapter mislukt, verzamelt u:
%SystemRoot%\Inf\setupapi.dev.log %SystemRoot%\Inf\setupapi.setup.log
msiexec /i cisco-secure-client-win-<version>-predeploy-k9.msi /lvx %TEMP%\ac-install.log
Zie Cisco Secure Client: Corrupt Driver Database Issue en de sectie Administrator Guide VPN Client Driver Encounters Error (na een Microsoft Windows Update) voor fouten in de driverdatabase.
Als u verbindingsproblemen ondervindt met de Cisco Secure Client, verzamelt u gegevens per Verzamel informatie voor probleemoplossing voordat u de configuratie wijzigt.
Als de gebruiker geen verbinding kan maken, kan het probleem worden gerelateerd aan Remote Desktop Protocol (RDP) of Fast User Switching. De gebruiker kan zien: AnyConnect-profielinstellingen verplichten één lokale gebruiker, maar meerdere lokale gebruikers zijn momenteel aangemeld bij uw computer. Er kan geen VPN-verbinding worden gemaakt.
Koppel de RDP-sessie(s) los en schakel Fast User Switching uit. Meerdere gelijktijdige lokale gebruikers worden niet ondersteund op dezelfde machine voor VPN-instelling.
Wanneer een gebruiker geen verbinding kan maken, kan het probleem worden veroorzaakt door incompatibiliteit tussen de Cisco Secure Client-versie en de headendsoftware. De gebruiker kan ontvangen: Het installatieprogramma kon de Cisco VPN-client niet starten, clientloze toegang is niet beschikbaar. Upgrade de client naar een versie die wordt ondersteund door uw ASA- of FTD Remote Access VPN-implementatie.
Wanneer u zich voor het eerst aanmeldt bij Cisco Secure Client, kan het aanmeldingsscript problemen opleveren. Als u de verbinding verbreekt en opnieuw inlogt, wordt het aanmeldingsscript vaak uitgevoerd zoals verwacht. Dit gedrag kan worden verwacht, afhankelijk van het profiel en de scripttiming.
Wanneer u verbinding maakt, kunt u het volgende ontvangen: Gebruiker die niet is geautoriseerd voor AnyConnect-clienttoegang, neemt contact op met uw beheerder. Dit wordt vaak gezien wanneer het Secure Client-image ontbreekt in de koptekst. Upload het juiste clientimage en verwijs ernaar in de RA VPN / WebVPN-configuratie.
DART kan TUNNELPROTOCOLDPDMGR_ERROR_NO_DPD_RESPONSE weergeven wanneer het DTLS-kanaal wordt afgebroken vanwege een DPD-fout (Dead Peer Detection). Tune houdt levend op ASA:
webvpn anyconnect ssl keepalive 15 anyconnect dpd-interval client 5 anyconnect dpd-interval gateway 5
Schakel DTLS alleen uit als tijdelijke test (ASDM: Configuration > Remote Access VPN > Network (Client) Access > AnyConnect Connection Profiles, schakel DTLS inschakelen of FMC-equivalent uit). Geef de voorkeur aan DPD-timing en UDP 443 toestaan.
Wanneer problemen worden gedetecteerd bij het doorgeven van verkeer naar het privénetwerk met een Cisco Secure Client-sessie via de ASA, voert u de volgende stappen voor het verzamelen van gegevens uit:
access-list in_nat0_out extended permit ip any 10.136.246.0 255.255.255.0 ip local pool IPPool1 10.136.246.1-10.136.246.254 mask 255.252.0.0 nat (inside) 0 access-list in_nat0_out
route outside 0 0 10.145.50.1 route inside 0 0 10.0.4.2 tunneled
ASA(config)# policy-map global_policy ASA(config-pmap)# class inspection_default ASA(config-pmap-c)# no inspect skinny
Voer de volgende stappen uit om data te verzamelen:
Sommige applicaties, zoals Microsoft Outlook, werken niet terwijl de tunnel kleiner verkeer passeert, zoals kleine pings. Dit kan wijzen op fragmentatie op het pad. Consumentenrouters zijn vaak slecht in fragmentatie en reassemblage.
Probeer een schaalset pings: ping -l 500, ping -l 1000, ping -l 1500, ping -l 2000.
Configureer een speciaal groepsbeleid voor getroffen gebruikers en stel een lagere MTU in:
group-policy <name> attributes webvpn anyconnect mtu 1200
Probleem
Cisco Secure Client verwijdert zichzelf nadat de verbinding is beëindigd, hoewel Keep installed geselecteerd wordt in ASDM/FMC.
Oplossing
group-policy <name> attributes webvpn anyconnect keep-installer installed
Probleem: AnyConnect-client is vooraf gevuld met de hostnaam in plaats van de cluster Fully Qualified Domain Name (FQDN).
Wanneer u een load-balancing cluster voor SSL VPN hebt en de client verbinding maakt, kan het verzoek worden omgeleid naar een clusternode en slaagt de aanmelding. Bij een latere verbindingspoging wordt de FQDN-clusternaam niet weergegeven in Verbinding maken met; in plaats daarvan kan de hostnaam van de laatste node worden weergegeven.
Oplossing
De client cachet de laatste succesvolle hostnaam. Wis de gegevens in de cache of stel het FQDN-cluster in de lijst met profielservers in. Controleer op Cisco Secure Client 5.x. Zie Cisco bug ID CSCsz39019 voor platformspecifieke opmerkingen.
Er wordt een back-upserverlijst geconfigureerd wanneer de primaire server niet bereikbaar is. Definieer dit in het deelvenster Back-upserver van het clientprofiel. Voer de volgende stappen uit:
Deze vermelding in het bestand SetupAPI.log suggereert dat het catalogussysteem corrupt is:
W239 driver signing class list "C:\WINDOWS\INF\certclas.inf" was missing or invalid. Fout 0xfffffde5: Onbekende fout., ervan uitgaande dat alle apparaatklassen zijn onderworpen aan het beleid voor het ondertekenen van stuurprogramma's. U kunt ook ontvangen: Fout (3/17): Kan VA niet starten, gedeelde wachtrij instellen of VA heeft gedeelde wachtrij opgegeven.
En u kunt dit logboek op de client ontvangen: "Het VPN-clientstuurprogramma heeft een fout aangetroffen".
Dit probleem is gerelateerd aan Cisco bug ID CSCsm54689. Schakel Routing and Remote Access Service (RRAS) uit voordat u Cisco Secure Client start. Als het probleem zich blijft voordoen:
esentutl /p%systemroot%\System32\catroot2\
{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\catdb Als de reparatie mislukt:
U kunt de database op elk moment analyseren om te bepalen of deze geldig is.
esentutl /g%systemroot%\System32\catroot2\
{F750E6C3-38EE-11D1-85E5-00C04FC295EE}\catdb Deze fout kan optreden tijdens de browsergebaseerde SSL VPN- of Web Portal-verificatie. De client of portal toont Kan de sessiebeheerdatabase niet bijwerken. De ASA kan %ASA-3-211001 loggen: Geheugentoewijzingsfout. The adaptive security appliance failed to allocate RAM system memory. (Geheugentoewijzingsfout. De adaptieve security applicatie kan geen RAM-systeemgeheugen toekennen.)
Gerelateerd aan Cisco bug ID CSCsm51093. Herlaad de ASA of upgrade naar een vaste release per de bug. Controleer bij FTD de limieten voor het platformgeheugen en de RA VPN-sessie.
Gratis headend-geheugen:
Tijdens de installatie op Windows meldt het installatieprogramma dat een module (bijvoorbeeld vpnapi.dll) niet is geregistreerd en terugdraait.
Wanneer clients verbinding maken met Cisco Secure Client, retourneert de gateway een fout zoals "klasse Ongeldig adres", "Host of netwerk is 0" of "Andere fout".
De lokale IP-pool van ASA of FTD is uitgeput of verkeerd geconfigureerd. Vouw de VPN-adrespool uit en gebruik een geschikt masker (bijvoorbeeld /24 in plaats van een pool met alleen /32). Zie Cisco bug ID CSCsl82188.
De client meldt dat AnyConnect / Secure Client niet is ingeschakeld op de VPN-server.
Schakel Remote Access VPN in en implementeer een Secure Client-image op de koptelefoon. In ASA: Configuratie > Externe toegang VPN > Netwerktoegang (client) > AnyConnect-verbindingsprofielen. Op FTD: RA VPN en clientimage configureren in FMC. Gebruik een Remote Access VPN-gids — geen clientloze configuratie met alleen WebVPN.
Het bericht %ASA-6-722036: Group < client-group > User < xxxx > IP < x.x.x.x> Transmitting large packet 1220 (drempel 1206) wordt weergegeven in ASA-logs.
Er werd een groot pakket naar de client gestuurd (MTU of niet-comprimeerbare data). De compressie voor het groepsbeleid uitschakelen:
group-policy <name> attributes webvpn anyconnect compression none
Voorbeelden hiervan zijn geen toegewezen adres, host of netwerk is 0, of geen licentie in het gateway-bericht.
Controleer of de kop een geconfigureerde IP-toewijzing voor de lokale pool en het groepsbeleidsadres heeft na opnieuw laden of failover:
show running-config | include pool ip local pool SSLPOOL 192.168.30.2 192.168.30.254 anyconnect address-pool SSLPOOL
Installeer of schakel de vereiste mobiliteitslicentie voor Secure Client in de koptekst voor No License (Geen licentie).
Meestal is er een probleem met de virtuele adapter, het RRAS-conflict of het stuurprogrammaprobleem na Windows Update.
De Cisco Secure Client maakt geen verbinding met Kan de reactie van <gateway>niet verwerken.
Zie SSL VPN-clientconfiguratie op ASA. Verzamel DART als de fout aanhoudt.
Cisco Secure Client toont Login Denied, ongeautoriseerd verbindingsmechanisme, neem contact op met uw beheerder.
Controleer het verbindingsprofiel en de verificatie op de kop (ASA of FTD). Zorg ervoor dat de methode voor clientverificatie (RADIUS, SAML, certificaat, enzovoort) overeenkomt met het profiel. Controleer de toewijzing van het groepsbeleid en de tunnelgroep.
Deze fout kan worden weergegeven wanneer u Cisco Secure Client vanaf een Macintosh-client start.
webvpn anyconnect image disk0:/cisco-secure-client-macos-<version>-predeploy-k9.pkg 2
Op Linux (of andere platforms) kan de client het pakket niet downloaden van de kop.
"The AnyConnect package on the secure gateway could not be located. You may be experiencing network connectivity issues. Please try connecting again."
Controleer of het client-besturingssysteem wordt ondersteund en of het juiste image is geconfigureerd in de koptekst:
webvpn anyconnect image disk0:/cisco-secure-client-win-<version>-predeploy-k9.pkg 1 anyconnect image disk0:/cisco-secure-client-macos-<version>-predeploy-k9.pkg 2
Zie AnyConnect-pakket niet beschikbaar of beschadigd voor de bijbehorende stappen.
Gebruikers zien dat Secure VPN via remote desktop niet wordt ondersteund.
Upgrade naar een ondersteunde Cisco Secure Client 5.x-release. Zie Cisco bug ID CSCsu22088 en Cisco bug ID CSCso42825.
De client meldt dat het servercertificaat of de keten niet voldoet aan FIPS.
Als FIPS vereist is op het eindpunt, gebruikt u de FIPS-compatibele certificaten op de kop. Als dit niet nodig is, bewerkt u de C:\ProgramData\Cisco\Cisco Secure Client\AnyConnectLocalPolicy.xml en stelt u <FipsMode>false</FipsMode> in en start u vervolgens opnieuw op (beheerdersrechten vereist).
Gebruikers kunnen Cisco Secure Client niet starten en certificaatvalidatiefout ontvangen.
Voor certificaatverificatie importeert u het clientcertificaat, configureert u het profiel voor certificaatauteur en schakelt u op ASA het volgende in:
ssl certificate-authentication interface outside port 443
Controleer of het servercertificaat overeenkomt met de FQDN in de profielserverlijst.
De service vpnagent.exe mislukt tijdens de installatie, upgrade of verbinding.
Web-implementatie mislukt met een Windows Installer-fout waardoor het pakket niet kon worden geopend.
Het automatisch downloaden van de kop mislukt, soms als gevolg van een beschadigde MST-transformatie.
Dit bericht kan worden weergegeven nadat u opnieuw verbinding hebt gemaakt wanneer de instellingen voor de koptelefoon zijn gewijzigd.
group-policy <Name> attributes webvpn anyconnect mtu 1200
Probleem: De VPN-verbinding is niet toegestaan via een lokale proxy. Dit kan worden gewijzigd via de profielinstellingen van AnyConnect.
<ProxySettings>IgnoreProxy</ProxySettings> <AllowLocalProxyConnections>false</AllowLocalProxyConnections>
ASDM toont lopende clientloze SSL VPN-sessies wanneer AnyConnect Essentials wordt ingeschakeld.
AnyConnect Essentials kan niet gelijktijdig met de premium gedeelde SSL VPN-licentie worden uitgevoerd. Beëindig clientloze SSL VPN-sessies voordat Essentials wordt ingeschakeld. Essentials bevat geen clientloze SSL VPN.
Sommige gebruikers ontvangen Login Failed terwijl anderen verbinding kunnen maken.
Zorg ervoor dat geen pre-authenticatie (of gelijkwaardig) is ingesteld voor de getroffen gebruikers. Vergelijk het toewijzen van groepsbeleid en verbindingsprofielen.
Tijdens het bijwerken van het profiel in Windows mislukt de certificaatvalidatie ten opzichte van de verbindings-URL.
<ServerList>
<HostEntry>
<HostName>vpn1.example.com</HostName>
</HostEntry>
</ServerList>
Opmerking: Verwijder <HostAddress>-items die het openbare IP gebruiken als het certificaat alleen FQDN is.
Na een ASA-failover ontbreken er bestanden met betrekking tot het Secure Client-profiel op de standby-eenheid.
Zie Cisco bug ID CSCtn71662. Workaround: handmatig kopiëren van profielbestanden naar de stand-by. Controleer stateful failover config sync voor RA VPN-profielen.
Cisco Secure Client maakt geen verbinding met Kan geen verbinding maken. Het gebeurtenissenlogboek toont TLSPROTOCOL_ERROR_INSUFFICIENT_BUFFER.
Dit gebeurt met een zeer grote split-tunnellijst (ongeveer 180-200 vermeldingen) plus andere attributen voor groepsbeleid (bijvoorbeeld dns-server).
group-policy groupName attributes webvpn anyconnect ssl dtls none
Zie Cisco bug ID CSCtc41770.
Verbindingspoging is mislukt vanwege ongeldige hostinvoer tijdens certificaatverificatie.
Zie Cisco bug ID CSCti73316.
Wanneer Always-On is ingeschakeld, kan de client melden dat servercertificaten de strikte modus moeten passeren.
Always-On vereist een geldig kopcertificaat dat overeenkomt met de verbindings-URL. De strikte certificaatmodus in lokaal beleid veroorzaakt een fout als het certificaat niet wordt vertrouwd of niet overeenkomt.
Zie Gecertificeerd door een onbekende autoriteit in de Beheerdershandleiding voor beveiligde client 5.1.
DART kan HttpSendRequest-fouten weergeven en er is een interne fout opgetreden in de Microsoft Windows HTTP-services met CTransportWinHttp-fouten.
Dit kan worden veroorzaakt door een beschadigde Winsock-toestand. Van een verhoogde opdrachtprompt: netsh winsock reset
Start Windows opnieuw op en raadpleeg de Microsoft-richtlijnen voor het opnieuw instellen van Windows.
Cisco Secure Client DART kan CTransportWinHttp-fouten en CTransPORT_ERROR_SECURE_CHANNEL_FAILURE tonen wanneer TLS- of cijferonderhandeling tussen de client en de koptelefoon mislukt.
ssl cipher tlsv1.2 custom "AES256-GCM-SHA384:AES128-GCM-SHA256:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-RSA-AES128-GCM-SHA256"
| Revisie | Publicatiedatum | Opmerkingen |
|---|---|---|
3.0 |
23-Jun-2026
|
Bijgewerkte spelling-, grammatica-, zinsstructuur-, introductie-, spatiëring- en CCW-waarschuwingen. |
1.0 |
04-Apr-2018
|
Eerste vrijgave |