Microsoft Intune'de VPN profili sorunlarını giderme

Orijinal ürün sürümü: Microsoft Intune
Özgün KB numarası: 4519426

Giriş

Bu kılavuz, Microsoft Intune kullandığınızda oluşabilecek VPN profili sorunlarını anlamanıza ve gidermenize yardımcı olur.

Bu kılavuzdaki örneklerde profiller için Basit Sertifika Kayıt Protokolü (SCEP) sertifika kimlik doğrulaması kullanılır. Örneklerde, Güvenilir Kök ve SCEP profillerinin cihazda düzgün çalıştığı da varsayılır. Örneklerde Güvenilen Kök ve SCEP profilleri aşağıdaki gibi adlandırılır:

Profil türleri Android iOS Windows
Güvenilen Kök profili AndroidRoot iOSRoot WindowsRoot2
SCEP profili AndroidSCEP iOSSCEP WindowsSCEP2

VPN profillerine genel bakış

Sanal özel ağlar (VPN'ler), kullanıcılara bir kuruluşun ağına güvenli uzaktan erişim sağlar. Cihazlar VPN sunucusuyla bağlantı başlatmak için bir VPN bağlantı profili kullanır. Intune'de, VPN profilleri kuruluştaki kullanıcılara ve cihazlara VPN ayarları atar. Daha sonra kullanıcılar kuruluş ağına kolayca ve güvenli bir şekilde bağlanabilir.

Örneğin, tüm iOS cihazlarını kuruluşun ağındaki bir dosya paylaşımına bağlanmak için gerekli ayarlarla yapılandırmak istiyorsanız, bu ayarları içeren bir VPN profili oluşturabilir ve bu profili iOS cihazları olan tüm kullanıcılara atayabilirsiniz. Bundan sonra, kullanıcılar kullanılabilir ağlar listesinde VPN bağlantısını görebilir ve en az çabayla bağlanabilir.

Farklı VPN bağlantı türlerini kullanarak VPN profilleri oluşturabilirsiniz.

Not

Bir cihaza atanan VPN profillerini kullanabilmeniz için önce profil için geçerli VPN uygulamasını yüklemeniz gerekir.

VPN profilleri oluşturma

VPN profili oluşturmak için Cihaz profili oluşturma'daki adımları izleyin.

Örnekler için aşağıdaki ekran görüntülerine bakın:

Not

Örneklerde, Android ve iOS VPN profillerinin bağlantı türü Cisco AnyConnect, Windows 10 için bağlantı türü otomatiktir. VPN profili SCEP profiline bağlıdır.

Android için VPN profili oluşturmayı gösteren ekran görüntüsü.

VPN profilleri atama

BIR VPN profili oluşturduktan sonra profili seçili gruplara atayın .

Not

Grup türü dağıtım (kullanıcı grubu veya cihaz grubu) önemlidir ve bu kaynak ilkesi (Güvenilen Sertifikalar, SCEP ve VPN) ile ilgili tüm ilkelerde tutarlı olmalıdır. Dağıtacağınız sertifika türüne bağlıdır. Bir kullanıcı sertifikası dağıtıyorsanız, tüm dağıtımlar bir kullanıcı grubuna (veya tersine) olmalıdır. Dağıtılan sertifika bir cihaz türü ise, bir cihaz grubu kullanın.

Örnekler için aşağıdaki ekran görüntüsüne bakın:

Profil atamayı gösteren ekran görüntüsü.

Başarılı VPN profilleri nasıl görünür?

Bu senaryoda Kişisel iş profili olarak kaydedilmiş bir Android cihazı kullanılır. Güvenilir Kök ve SCEP profilleri cihazda zaten yüklü olduğundan, SCEP sertifikalarını yüklemeniz istenmez.

  1. Kurumsal VPN profilini yüklemek için bir bildirim alırsınız:

    VPN profilini yükleme bildirimini gösteren ekran görüntüsü.

    Bildirimi almazsanız, AnyConnect uygulamasında Dış Denetim seçeneğini etkinleştirmek için Ayarları Değiştir düğmesine dokunun. Ardından bildirimi alırsınız.

    Ayarları Değiştir düğmesini gösteren ekran görüntüsü.

    Dış Denetim seçeneğini gösteren ekran görüntüsü.

    Dış Denetim seçeneğinin etkinleştirildiğini gösteren ekran görüntüsü.

  2. AnyConnect uygulamasında SCEP sertifikasını seçin:

    Sertifikaların seçileceği sayfayı gösteren ekran görüntüsü.

    Not

    Cihaz yöneticisi tarafından yönetilen bir Android cihazı kullanırken, sertifika profili değiştirildiğinde veya kaldırıldığında sertifikalar iptal edilmediğinden veya kaldırılmadığından birden çok sertifika olabilir. Bu senaryoda en yeni sertifikayı seçin. Bu genellikle listede görüntülenen son sertifikadır.

    Bu durum Android Enterprise ve Samsung Knox cihazlarında gerçekleşmez. Daha fazla bilgi için bkz. Intune ile Android iş profili cihazlarını yönetme ve Microsoft Intune SCEP ve PKCS sertifikalarını kaldırma.

  3. VPN bağlantısı başarıyla oluşturuldu.

    VPN bağlantısının başarıyla oluşturulduğunu gösteren ekran görüntüsü.

Başarılı VPN profili dağıtımının günlüklerini Şirket Portalı

Bir Android cihazda Omadmlog.log dosyası, cihazda işlendiğinde VPN profilinin ayrıntılı etkinliklerini günlüğe kaydeder. Şirket Portalı uygulamasının ne kadar süreyle yüklendiğine bağlı olarak, en fazla beş Omadmlog.log dosyanız olabilir ve son eşitlemenin zaman damgası ilgili girişleri bulmanıza yardımcı olabilir.

Aşağıdaki örnek, günlükleri okumak ve için arama yapmak için android.vpn.clientCMTrace kullanır.

Günlükleri okumak ve android.vpn.client araması yapmak için CMTrace kullanan bir örneği gösteren ekran görüntüsü.

Örnek günlük:

<Date Time>    INFO    com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine    13229    00622    Notifying to provision vpn profile 'AnyConnect'.
<Date Time>    INFO    com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine    13229    00622    VPN Profile "AnyConnect" state changed from RECEIVED to PENDING_USER_INSTALL
<Date Time>    VERB    com.microsoft.omadm.platforms.android.vpn.client.VpnClient    13229    00002    Creating VPN Provision Intent: anyconnect://create/?host=VPN.contoso.com&name=AnyConnect&usecert=true&keychainalias=UserID
<Date Time>    INFO    com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine    13229    00002    Vpn profile 'AnyConnect' provisioned and complete.
<Date Time>    INFO    com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine    13229    00002    VPN Profile "AnyConnect" state changed from PENDING_USER_INSTALL to PROVISIONED

Yaygın sorunları giderme

Sorun 1: VPN profili cihaza dağıtılmıyor

  1. VPN profilinin doğru gruba atandığını doğrulayın.

    Intune portalında Cihaz yapılandırma>Profilleri'ni seçin, ardından profili seçin ve ardından Seçilen grupları doğrulamak için Atamalar'ı seçin.

    Android için bir grubun atanan VPN profilini gösteren ekran görüntüsü.

  2. Sorun Gidermebölmesindeki SON İADE zamanını denetleyerek cihazın Intune ile eşitleyebildiğini doğrulayın.

    Android için Sorun Giderme bölmesindeki SON İADE zamanını gösteren ekran görüntüsü.

  3. VPN profili Güvenilen Kök ve SCEP profillerine bağlıysa, her iki profilin de cihaza dağıtıldığını doğrulayın. VPN profilinin bu profillere bağımlılığı vardır.

    Güvenilir Kök ve SCEP profilleri cihazda yüklü değilse, Şirket Portalı günlük dosyasında (Omadmlog.log) aşağıdaki girdiyi görürsünüz:

    <Date Time> INFO com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine 14210 00948 Waiting for required certificates for vpn profile 'androidVPN'.

    Not

    Güvenilir Kök ve SCEP profilleri cihazda olsa ve uyumlu olsa da VPN profili hala cihazda olmayabilir. Bu sorun, Şirket Portalı uygulamasındaki CertificateSelector sağlayıcı belirtilen ölçütlerle eşleşen bir sertifika bulmadığında oluşur. Belirli ölçütler sertifika şablonunda veya SCEP profilinde olabilir. Eşleşen sertifika bulunamazsa cihazdaki sertifikalar dışlanır. Bu nedenle, doğru sertifikaya sahip olmadığından VPN profili atlanır. Bu senaryoda, Şirket Portalı günlük dosyasında (Omadmlog.log) aşağıdaki girdiyi görürsünüz:

    Waiting for required certificates for vpn profile 'androidVPN'.

    Aşağıdaki örnek günlük, Herhangi Bir Amaçlı Genişletilmiş Anahtar Kullanımı (EKU) ölçütü belirtildiğinden sertifikaların dışlandığını gösterir. Ancak, cihaza atanan sertifikalarda bu EKU yoktur:

    <Date Time>    VERB     com.microsoft.omadm.utils.CertUtils      14210    00948    Excluding cert with alias User<ID1> and requestId <requestID1> as it does not have any purpose EKU.
    <Date Time>    VERB     com.microsoft.omadm.utils.CertUtils      14210    00948    Excluding cert with alias User<ID2> and requestId <requestID2> as it does not have any purpose EKU.
    <Date Time>    VERB     com.microsoft.omadm.utils.CertUtils      14210    00948    0 cert(s) matched criteria:
    <Date Time>    VERB     com.microsoft.omadm.utils.CertUtils      14210    00948    2 cert(s) excluded by criteria:
    <Date Time>    INFO     com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine       14210     00948    Waiting for required certificates for vpn profile '<profile name>'.
    

    Aşağıdaki örnek, SCEP profilinin Belirtilen Herhangi Bir Amaçlı EKU seçeneğine sahip olduğunu gösterir. Ancak, sertifika yetkilisindeki (CA) sertifika şablonunda belirtilmez. Sorunu çözmek için sertifika şablonuna Herhangi Bir Amaç seçeneğini ekleyin veya SCEP profilinden Herhangi Bir Amaç seçeneğini kaldırın.

    Herhangi Bir Amaç seçeneğinin nasıl ekleneceğini gösteren ekran görüntüsü.

    Herhangi Bir Amaç seçeneğinin görüntülendiğini gösteren ekran görüntüsü.

  4. AnyConnect'in Dış Denetim seçeneğinin etkinleştirildiğini doğrulayın.

    Profil oluşturulmadan önce Dış Denetim seçeneğinin etkinleştirilmesi gerekir. Profil cihaza gönderildiğinde, kullanıcıdan Dış Denetim seçeneğini etkinleştirmesi istenir.

    Dış Denetim seçeneğinin nasıl denetlendiğini gösteren ekran görüntüsü.

    Dış Denetim seçeneğinin etkinleştirildiğini gösteren ekran görüntüsü.

  5. Tam sertifika zincirindeki tüm gerekli sertifikaların cihazda olduğunu doğrulayın. Aksi takdirde, Şirket Portalı günlük dosyasında (Omadmlog.log) aşağıdaki girdiyi görürsünüz:

    Waiting for required certificates for vpn profile 'androidVPN'.

    Daha fazla bilgi için bkz . Eksik ara sertifika yetkilisi.

Sorun 2: VPN profili cihaza dağıtıldı, ancak cihaz ağa bağlanamıyor

Genellikle bu bağlantı sorunu Intune bir sorun değildir ve bunun birçok nedeni olabilir. Aşağıdaki öğeler sorunu anlamanıza ve gidermenize yardımcı olabilir:

  • VPN profilinde aynı ölçütlere sahip bir sertifika kullanarak ağa el ile bağlanabilir misiniz?

    Bunu yapabilirseniz, el ile bağlantıda kullandığınız sertifikanın özelliklerini denetleyin ve Intune VPN profilinde değişiklikler yapın.

  • Android ve iOS cihazları için VPN istemcisi Uygulama günlükleri cihazın VPN profiline bağlanmaya çalıştığını gösterdi mi?

    Genellikle, bağlantı hataları VPN istemcisi uygulama günlüklerine kaydedilir.

  • Windows cihazları için Radius sunucu günlükleri cihazın VPN profiline bağlanmayı denediğini gösterdi mi?

    Genellikle bağlantı hataları Radius sunucu günlüklerine kaydedilir.

AnyConnect uygulamasında günlükleri görüntüleme

Günlükleri görüntülemek için Android ve iOS cihazları için aşağıdaki iki örneğe bakın.

Örnek 1: Android cihazlarda günlükleri görüntüleme

  1. MenüTanılama'yı> seçin.

    Tanılama işlevini gösteren ekran görüntüsü.

  2. Sertifikaları görüntülemek için Sertifika Yönetimi'ni seçin.

    Sertifika Yönetimi işlevini gösteren ekran görüntüsü.

    Sertifika bilgilerini gösteren ekran görüntüsü.

  3. AnyConnect sorunlarını analiz etmek üzere günlükleri görüntülemek için Günlüğe Kaydetme ve Sistem Bilgileri>Hata Ayıklama'yı seçin.

    Günlüğe Kaydetme ve Sistem Bilgileri işlevini gösteren ekran görüntüsü.

    Hata ayıklama bilgilerini gösteren ekran görüntüsü.

  4. Günlükleri göndermek için Menü>Günlükleri>Raporu Yöneticiye Gönder'i seçin.

    Günlükleri Gönder işlevini gösteren ekran görüntüsü.

    Yöneticiye Rapor işlevini gösteren ekran görüntüsü.

  5. Hata ayıklama günlüklerini aldıktan sonra profil oluşturma ve bağlantı bilgileri için debug_logs_unfiltered.txt dosyasını denetleyin.

VPN oluşturma için örnek günlük:

<Date Time> I/AnyConnect(14530): URIHandlerActivity: Received command: anyconnect://create?host=VPN.Contoso.com&name=AnyConnect&usecert=true&keychainalias=UserID
<Date Time> I/AnyConnect(14530): VpnService: VpnService is being created.

VPN bağlantısı hatası için örnek günlük:

<Date Time> I/vpnapi  (14530): Message type information sent to the user: Contacting VPN.Contoso.com.
<Date Time> I/vpnapi  (14530): Initiating VPN connection to the secure gateway https://VPN.Contoso.com
<Date Time> I/acvpnagent(14592): Using default preferences. Some settings (e.g. certificate matching) may not function as expected if a local profile is expected to be used. Verify that the selected host is in the server list section of the profile and that the profile is configured on the secure gateway.
<Date Time> I/acvpnagent(14592): Function: processConnectNotification File: MainThread.cpp Line: 14616 Received connect notification (host VPN.Contoso.com, profile N/A)
<Date Time> W/acvpnagent(14592): Function: getHostIPAddrByName File: SocketSupport.cpp Line: 344 Invoked Function: ::getaddrinfo Return Code: 11 (0x0000000B) Description: unknown 
<Date Time> W/acvpnagent(14592): Function: resolveHostName File: HostLocator.cpp Line: 710 Invoked Function: CSocketSupport::getHostIPAddrByName Return Code: -31129588 (0xFE25000C) Description: SOCKETSUPPORT_ERROR_GETADDRINFO 
<Date Time> W/acvpnagent(14592): Function: ResolveHostname File: HostLocator.cpp Line: 804 Invoked Function: CHostLocator::resolveHostName Return Code: -31129588 (0xFE25000C) Description: SOCKETSUPPORT_ERROR_GETADDRINFO failed to resolve host name VPN.Contoso.com to IPv4 address
<Date Time> I/vpnapi  (14530): Message type warning sent to the user: Connection attempt has failed.
<Date Time> E/vpnapi  (14530): Function: processIfcData File: ConnectMgr.cpp Line: 3399 Content type (unknown) received. Response type (DNS resolution failed) from VPN.Contoso.com: DNS resolution failed
<Date Time> I/vpnapi  (14530): Message type warning sent to the user: Unable to contact VPN.Contoso.com.
<Date Time> E/vpnapi  (14530): Function: processIfcData File: ConnectMgr.cpp Line: 3535 Unable to contact VPN.Contoso.com DNS resolution failed
<Date Time> I/vpnapi  (14530): Message type error sent to the user: The VPN connection failed due to unsuccessful domain name resolution.

Örnek 2: iOS cihazlarında günlükleri görüntüleme

  1. Kullanıcı sertifikasını görüntülemek için Tanılama Sertifikaları'nı> seçin.

    İçeri aktarılan sertifikaları gösteren ekran görüntüsü.

  2. Günlük iletilerini görüntülemek için Tanılama'yı seçin, günlüğe kaydetmeyi etkinleştirmek için VPN Hata Ayıklama Günlükleri seçeneğini etkinleştirin ve ardından Günlükler'i seçin.

    • Hizmet hata ayıklama günlük iletilerini görüntülemek için Hizmet'i seçin.
    • Uygulama hata ayıklama günlük iletilerini görüntülemek için Uygulama'yı seçin.

    VPN Hata Ayıklama Günlükleri seçeneğini gösteren ekran görüntüsü.

  3. Günlükleri göndermek için Tanılama penceresinde GünlükleriPaylaş'ı seçin, sorunla ilgili bilgileri girin ve gönder'i seçin.

    Günlükleri Paylaş işlevini gösteren ekran görüntüsü.

  4. Hata ayıklama günlüklerini aldıktan sonra, profil oluşturma ve bağlantı bilgileri için dosyaları denetleyin.

    Hata ayıklama günlük dosyalarının bulunduğu klasörü gösteren ekran görüntüsü.

VPN profilini gösteren AnyConnect_App_Debug_Logs.txt dosyasının örnek günlüğü:

[<Date Time>] Info: Function: SaveSettings File: AppleVpnConfig.mm Line: 198 SaveSettings {type = mutable dict, count = 3, entries => 0 : {contents = "RemoteAddress"} = {contents = "Contoso.com"} 1 : {contents = "AuthenticationMethod"} = {contents = "Certificate"} 2 : {contents = "LocalCertificate"} = <69646e74 00000000 000002d3> }
[<Date Time>] Info: Function: GetSettings File: AppleVpnConfig.mm Line: 175 GetSettings { AuthenticationMethod = Certificate; LocalCertificate = <69646e74 00000000 000002d3>; RemoteAddress = "Contoso.com"; }
[<Date Time>] Info: Function: -[AppleVpnConfigBatch startBatchSaveToSystem] File: AppleVpnConfigBatch.mm Line: 43 Invoking save to system with 0x28202fd60
[<Date Time>] Info: Function: saveToSystem_block_invoke File: AxtVpnConfig.mm Line: 222 Successfully saved profile for Contoso.com
[<Date Time>] Info: Function: -[AppleVpnConfigBatch startBatchSaveToSystem] File: AppleVpnConfigBatch.mm Line: 36 completed!.

VPN bağlantısı hatasını gösteren AnyConnect_Messages.txt dosyasının örnek günlüğü:

[<Date Time>] [VPN] - Contacting Contoso.com.
[<Date Time>] [VPN] - Connection attempt has failed.
[<Date Time>] [VPN] - Unable to contact CoolBreeze.com.
[<Date Time>] [VPN] - Connection attempt has timed out. Please verify Internet connectivity.

VPN bağlantısı hatasını gösteren AnyConnect_Plugin_Debug_Logs.txt dosyasının örnek günlüğü:

[<Date Time>] Info: Message type information sent to the user: Contacting Contoso.com.
[<Date Time>] Info: Initiating VPN connection to the secure gateway https://Contoso.com
[<Date Time>] Info: Function: NoticeCB File: AnyConnectAuthenticator.cpp Line: 2116 Sending notice Contacting Contoso.com. to App
[<Date Time>] Error: Function: SendRequest File: CTransportCurlStatic.cpp Line: 2046 Invoked Function: curl_easy_perform Return Code: -29949904 (0xFE370030) Description: CTRANSPORT_ERROR_TIMEOUT 28 : Error
[<Date Time>] Error: Function: TranslateStatusCode File: ConnectIfc.cpp Line: 3169 Invoked Function: TranslateStatusCode Return Code: -29949904 (0xFE370030) Description: CTRANSPORT_ERROR_TIMEOUT Connection attempt has timed out. Please verify Internet connectivity.
[<Date Time>] Error: Function: doConnectIfcConnect File: ConnectMgr.cpp Line: 2442 Invoked Function: ConnectIfc::connect Return Code: -29949904 (0xFE370030) Description: CTRANSPORT_ERROR_TIMEOUT 
[<Date Time>] Info: Message type warning sent to the user: Connection attempt has failed.
[<Date Time>] Error: Function: processIfcData File: ConnectMgr.cpp Line: 3407 Content type (unknown) received. Response type (host unreachable) from Contoso.com: 
[<Date Time>] Info: Message type warning sent to the user: Unable to contact Contoso.com.
[<Date Time>] Info: Function: NoticeCB File: AnyConnectAuthenticator.cpp Line: 2116 Sending notice Connection attempt has failed. to App
[<Date Time>] Error: Function: processIfcData File: ConnectMgr.cpp Line: 3543 Unable to contact Contoso.com 
[<Date Time>] Info: Function: NoticeCB File: AnyConnectAuthenticator.cpp Line: 2116 Sending notice Unable to contact Contoso.com. to App
[<Date Time>] Info: Message type error sent to the user: Connection attempt has timed out. Please verify Internet connectivity.

Daha fazla bilgi

Hala ilgili bir sorunun çözümünü arıyorsanız veya Microsoft Intune hakkında daha fazla bilgi edinmek istiyorsanız Microsoft Intune forumunda bir soru gönderin. Birçok destek mühendisi, MVP ve geliştirme ekibinin üyeleri forumları ziyaret eder. Bu nedenle, ihtiyacınız olan bilgileri içeren birini bulma şansınız yüksek.

Microsoft Intune ürün destek ekibine bir destek isteği açmak istiyorsanız bkz. Microsoft Intune için destek alma.

Intune'daki VPN profilleri hakkında daha fazla bilgi için aşağıdaki makalelere bakın:

En son haberler, bilgiler ve teknik ipuçları için resmi blogları ziyaret edin: