Risoluzione dei problemi: Azure problemi di connessione da punto a sito

Motivo

Questo problema si verifica perché il nome del certificato contiene caratteri non validi, ad esempio uno spazio.

errore del portale di Azure: errore di download del file del pacchetto VPN 503

Sintomo

Quando si prova a scaricare il pacchetto di configurazione del client VPN, viene visualizzato il messaggio di errore seguente:

Non è stato possibile scaricare il file. Dettagli errore: errore 503. Il server è occupato.

Soluzione

Questo errore può essere causato da un problema di rete temporaneo. Provare di nuovo a scaricare il pacchetto VPN dopo alcuni minuti.

Aggiornamento del gateway VPN Azure: tutti i client punto-a-sito non riescono a connettersi

Motivo

Se il certificato ha superato il 50% del ciclo di vita, il certificato viene rinnovato.

Soluzione

Per risolvere questo problema, scaricare nuovamente e ridistribuire il pacchetto da punto a sito in tutti i client.

Troppi client VPN connessi contemporaneamente

È stato raggiunto il numero massimo di connessioni consentite. È possibile visualizzare il numero totale di client connessi nel portale di Azure.

Il client VPN non riesce ad accedere alle condivisioni file di rete

Sintomo

Il client VPN è connesso alla rete virtuale Azure. Tuttavia, il client non riesce ad accedere alle condivisioni di rete.

Motivo

Per l'accesso alle condivisioni file, viene usato il protocollo SMB. Quando si avvia la connessione il client VPN aggiunge le credenziali della sessione e si verifica l'errore. Dopo che la connessione è stata stabilita, il client è forzato a usare le credenziali della cache per l'autenticazione Kerberos. Questo processo avvia le query al Centro distribuzione chiavi, ovvero un controller di dominio, per ottenere un token. Poiché il client si connette da Internet, potrebbe non riuscire a raggiungere il controller di dominio. Pertanto non riesce a effettuare il failover da Kerberos a NTLM.

L'unica volta in cui vengono richieste le credenziali al client è quando dispone di un certificato valido, con SAN=UPN, rilasciato dal dominio in cui viene aggiunto. Il client deve anche essere fisicamente connesso alla rete di dominio. In questo caso, il client cerca di usare il certificato e raggiunge il controller di dominio. Il Centro distribuzione chiavi restituisce quindi un errore "KDC_ERR_C_PRINCIPAL_UNKNOWN". Il client è costretto a effettuare il failover a NTLM.

Soluzione

Per risolvere il problema, disabilitare la memorizzazione nella cache delle credenziali di dominio dalla sottochiave del registro di sistema seguente:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\DisableDomainCreds - Set the value to 1

Non è possibile trovare la connessione VPN da punto a sito in Windows dopo aver reinstallato il client VPN

Sintomo

Si rimuove la connessione VPN da punto a sito e quindi si reinstalla il client VPN. In questo caso, la connessione VPN non viene configurata correttamente. La connessione VPN non viene visualizzata nelle impostazioni Network connections in Windows.

Soluzione

Per risolvere il problema, eliminare i file di configurazione del client VPN precedenti da C:\Users\UserName\AppData\Roaming\Microsoft\Network\ConnectionsVirtualNetworkId quindi eseguire di nuovo il programma di installazione del client VPN.

Il client VPN da punto a sito non è in grado di risolvere il nome di dominio completo delle risorse nel dominio locale

Sintomo

Quando il client si connette a Azure usando la connessione VPN da punto a sito, non può risolvere il nome di dominio completo delle risorse nel dominio locale.

Motivo

Il client VPN da punto a sito usa in genere DNS di Azure server configurati nella rete virtuale Azure. I server DNS di Azure hanno la precedenza sui server DNS locali configurati nel client (a meno che la metrica dell'interfaccia Ethernet non sia inferiore), quindi tutte le query DNS vengono inviate ai server DNS di Azure. Se i server DNS di Azure non dispongono dei record per le risorse locali, la query ha esito negativo.

Soluzione

Per risolvere il problema, assicurarsi che i server DNS di Azure usati nella rete virtuale Azure possano risolvere i record DNS per le risorse locali. A tale scopo, è possibile usare server di inoltro DNS o server di inoltro condizionali. Per ulteriori informazioni, vedere Risoluzione dei nomi usando il proprio server DNS.

Viene stabilita la connessione VPN da punto a sito, ma non è ancora possibile connettersi alle risorse Azure

Motivo

Questo problema può verificarsi se il client VPN non ottiene le route dal gateway VPN Azure.

Soluzione

Per risolvere questo problema, reset Azure gateway VPN. Per assicurarsi che vengano usate le nuove rotte, i client VPN Punto-a-Sito devono essere scaricati nuovamente dopo che il peering della rete virtuale è stato configurato con successo.

Errore: "La funzione di revoca non è in grado di completare il controllo di revoca perché il server di revoca è offline. (Errore 0x80092013)"

Cause

Questo messaggio di errore viene visualizzato se il client non può accedere a e . La verifica delle revoche richiede l'accesso a questi due siti. Questo problema si verifica in genere nel client che ha un server proxy configurato. In alcuni ambienti se le richieste non passano attraverso il server proxy, verranno rifiutate a livello di firewall di confine.

Soluzione

Controllare le impostazioni del server proxy, assicurarsi che il client possa accedere a e .

Errore del client VPN: Impossibile stabilire la connessione a causa di un criterio configurato nel server RAS/VPN. (errore 812)

Motivo

Questo errore si verifica se il server RADIUS usato per l'autenticazione del client VPN ha impostazioni non corrette o Azure Gateway non riesce a raggiungere il server Radius.

Soluzione

Assicurarsi che il server RADIUS sia configurato correttamente. Per ulteriori informazioni, vedere Integrare l'autenticazione RADIUS con il server Azure Multi-Factor Authentication.

"Errore 405" quando si scarica il certificato radice da Gateway VPN

Motivo

Il certificato radice non è stato installato. Il certificato radice è installato nell'archivio certificati attendibili del client.

Errore del client VPN: Impossibile stabilire la connessione remota. Tentativi di tunnel VPN non riusciti. (errore 800)

Motivo

Il driver della scheda di interfaccia di rete non è aggiornato.

Soluzione

Aggiornare il driver della scheda di interfaccia di rete:

1. Fare clic su Start, digitare Gestione dispositivi e selezionarlo nell'elenco dei risultati. Se viene chiesto di immettere la password amministratore o di confermare l'operazione, digitare la password o confermare.
2. Nella categoria degli Adattatori di rete, trova il NIC che desideri aggiornare.
3. Fare doppio clic sul nome del dispositivo, selezionare Aggiorna driver e quindi Cerca automaticamente un driver aggiornato.
4. Se Windows non trova un nuovo driver, è possibile provare a cercarne uno nel sito Web del produttore del dispositivo e seguire le istruzioni.
5. Riavviare il computer e riprovare la connessione.

Errore del client VPN: l'autenticazione con Microsoft Entra scaduta

Se si usa Microsoft Entra ID'autenticazione, è possibile che si verifichi uno degli errori seguenti:

L'autenticazione con Microsoft Entra è scaduta. Per acquisire un nuovo token, è necessario eseguire di nuovo l'autenticazione in Entra. Il timeout di autenticazione può essere ottimizzato dall'amministratore.

o

L'autenticazione con Microsoft Entra è scaduta, quindi è necessario ripetere l'autenticazione per acquisire un nuovo token. Riprovare a connettersi. I criteri di autenticazione e il timeout vengono configurati dall'amministratore nel tenant entra.

Motivo

La connessione da punto a sito è disconnessa perché il token di aggiornamento corrente è scaduto o diventa non valido. Non è possibile recuperare nuovi token di accesso per l'autenticazione dell'utente.

Quando un client VPN Azure tenta di stabilire una connessione con un gateway VPN Azure usando l'autenticazione Microsoft Entra ID, è necessario un token di accesso per autenticare l'utente. Questo token viene rinnovato circa ogni ora. Un token di accesso valido può essere emesso solo quando l'utente dispone di un token di aggiornamento valido. Se l'utente non ha un token di aggiornamento valido, la connessione viene disconnessa.

Il token di aggiornamento può essere visualizzato come scaduto/non valido a causa di diversi motivi. È possibile controllare i log di accesso di User Entra per il debug. Consulta log degli accessi di Microsoft Entra.

• Il token di aggiornamento è scaduto

  • La durata predefinita per i token di aggiornamento è di 90 giorni. Dopo 90 giorni, gli utenti devono riconnettersi per ottenere un nuovo token di aggiornamento.
  • Gli amministratori tenant di Entra possono aggiungere criteri di accesso condizionale per la frequenza di autenticazione che attivano la riautenticazione periodica ogni 'X' ore. (Il token di aggiornamento scadrà nelle ore 'X'). Usando criteri di accesso condizionale personalizzati, gli utenti vengono costretti a usare un accesso interattivo ogni ora "X". Per altre informazioni, vedere Aggiornare i token in Microsoft Identity Platform e Configurare i criteri sulla durata delle sessioni adattive.

• Il token di aggiornamento non è valido

  • L'utente è stato rimosso dal locatario.
  • Le credenziali dell'utente sono state modificate.
  • Le sessioni sono state revocate dall'amministratore del tenant Entra.
  • Il dispositivo è diventato non conforme (se si tratta di un dispositivo gestito).
  • Altri criteri Entra configurati da Entra Admins che richiedono agli utenti di usare periodicamente l'accesso interattivo.

Soluzione

In questi scenari, gli utenti devono riconnettersi. In questo modo viene attivato un processo di accesso interattivo in Microsoft Entra che rilascia un nuovo token di aggiornamento e un token di accesso.

Azure client VPN con l'autenticazione Entra ID non richiede all'utente di ripetere l'autenticazione ogni volta che si disconnette

Motivo

Un client VPN Azure che si connette tramite l'autenticazione da punto a sito con l'autenticazione Entra ID non richiede la riautenticazione interattiva quando si disconnette.

La frequenza di accesso consigliata (SIF) o il tempo di scadenza del token di aggiornamento per un'esperienza ottimale con il client VPN Azure deve essere impostato su più di 2 ore, a seconda del funzionamento migliore per il cliente. Ciò significa che il cliente rimarrà connesso per tale durata senza dover ripetere l'autenticazione in modo interattivo.

L'impostazione del SIF su "ogni volta" non è consigliata perché richiederebbe la riautenticazione interattiva ogni ora, causando frequenti disconnessioni.

Con la cache di accesso abilitata (impostazione predefinita), il token viene archiviato in una risorsa di archiviazione permanente, consentendo la riconnessione senza autenticazione interattiva anche dopo la disconnessione, purché il token di aggiornamento sia valido. Ciò significa che la durata della riconnessione rientra nell'intervallo di scadenza del token di aggiornamento o SIF.

Soluzione

Per assicurarsi che il client VPN Azure venga richiesto di ripetere l'autenticazione ogni volta che viene disconnesso, il cliente può usare l'opzione "cache di accesso disabilitata" nel client VPN Azure (versione 4.0.0.0 e successive). Il cliente può modificare l'impostazione del profilo utente (XML) su .

<azvpnprofile> 
    <clientauth> 
      <aad>  
          <cachesigninuser>false</cachesigninuser> 
      </aad> 
    </clientauth>    
</azvpnprofile> 

Quando la cache di accesso è disabilitata, il token viene archiviato nell'archiviazione in memoria, valido per una connessione (o sessione), indipendentemente dalla durata (da 30 minuti a 90 giorni). Una volta disconnessa la connessione, il token in memoria viene eliminato. La durata di una connessione dipende dall'ora di scadenza del token di aggiornamento o dal SIF.

Errore del client VPN: Chiamata connessione VPN Nome connessione VPN, Stato = La piattaforma VPN non ha attivato la connessione

È anche possibile che venga visualizzato l'errore seguente in Visualizzatore eventi da RasClient: "L'utente <User> ha composto una connessione denominata <VPN Connection Name> che è fallita. Il codice di errore restituito in caso di errore è 1460".

Motivo

Il client VPN Azure non dispone dell'autorizzazione app "App in background" abilitata in Impostazioni app per Windows.

Soluzione

1. In Windows, vai a Impostazioni -> Privacy -> App in background
2. Attivare o disattivare l'opzione "Consenti l'esecuzione delle app in background" su Sì

Errore: "Errore di download del file. L'URI di destinazione non è specificato"

Motivo

Questo problema è causato dalla configurazione di un tipo di gateway non corretto.

Soluzione

Il tipo di gateway VPN Azure deve essere VPN e il tipo di VPN deve essere RouteBased.

Il programma di installazione del pacchetto VPN non viene completato

Motivo

Questo problema può essere causato dalle installazioni di client VPN precedenti.

Soluzione

Eliminare i file di configurazione dei client VPN precedenti da C:\Users\UserName\AppData\Roaming\Microsoft\Network\ConnectionsVirtualNetworkId ed eseguire di nuovo il programma di installazione del client VPN.

Il client VPN si iberna o dorme

Soluzione

Controllare le impostazioni relative alla sospensione e all'ibernazione nel computer in cui è in esecuzione il client VPN.

Non riesco a risolvere i record nelle zone DNS private usando il risolutore privato dai client punto-a-sito.

Sintomo

Quando si usa Azure server DNS fornito (168.63.129.16) nella rete virtuale, i client da punto a sito non saranno in grado di risolvere i record presenti nelle zone DNS privato (inclusi gli endpoint privati).

Motivo

DNS di Azure indirizzo IP del server (168.63.129.16) è risolvibile solo dalla piattaforma Azure.

Soluzione

I passaggi seguenti consentono di risolvere i record dalla zona DNS privato:

La configurazione dell'indirizzo IP in ingresso del Resolver privato come server DNS personalizzati nella rete virtuale consente di risolvere i record nella zona DNS privato (inclusi quelli creati da endpoint privati). Si noti che le zone di DNS privato devono essere associate alla rete virtuale con sistema di risoluzione privato.

Per impostazione predefinita, i server DNS configurati in una rete virtuale verranno inseriti nei client da punto a sito connessi tramite gateway VPN. Configurando l'indirizzo IP in ingresso del resolver privato come server DNS personalizzati sulla rete virtuale, questi indirizzi IP verranno trasmessi automaticamente ai client come server DNS VPN, consentendo di risolvere agevolmente i record delle zone DNS private (inclusi gli endpoint privati).