Microsoft Intune'de VPN profili sorunlarını giderme
Orijinal ürün sürümü: Microsoft Intune
Özgün KB numarası: 4519426
Giriş
Bu kılavuz, Microsoft Intune kullandığınızda oluşabilecek VPN profili sorunlarını anlamanıza ve gidermenize yardımcı olur.
Bu kılavuzdaki örneklerde profiller için Basit Sertifika Kayıt Protokolü (SCEP) sertifika kimlik doğrulaması kullanılır. Örneklerde, Güvenilir Kök ve SCEP profillerinin cihazda düzgün çalıştığı da varsayılır. Örneklerde Güvenilen Kök ve SCEP profilleri aşağıdaki gibi adlandırılır:
Profil türleri | Android | iOS | Windows |
---|---|---|---|
Güvenilen Kök profili | AndroidRoot | iOSRoot | WindowsRoot2 |
SCEP profili | AndroidSCEP | iOSSCEP | WindowsSCEP2 |
VPN profillerine genel bakış
Sanal özel ağlar (VPN'ler), kullanıcılara bir kuruluşun ağına güvenli uzaktan erişim sağlar. Cihazlar VPN sunucusuyla bağlantı başlatmak için bir VPN bağlantı profili kullanır. Intune'de, VPN profilleri kuruluştaki kullanıcılara ve cihazlara VPN ayarları atar. Daha sonra kullanıcılar kuruluş ağına kolayca ve güvenli bir şekilde bağlanabilir.
Örneğin, tüm iOS cihazlarını kuruluşun ağındaki bir dosya paylaşımına bağlanmak için gerekli ayarlarla yapılandırmak istiyorsanız, bu ayarları içeren bir VPN profili oluşturabilir ve bu profili iOS cihazları olan tüm kullanıcılara atayabilirsiniz. Bundan sonra, kullanıcılar kullanılabilir ağlar listesinde VPN bağlantısını görebilir ve en az çabayla bağlanabilir.
Farklı VPN bağlantı türlerini kullanarak VPN profilleri oluşturabilirsiniz.
Not
Bir cihaza atanan VPN profillerini kullanabilmeniz için önce profil için geçerli VPN uygulamasını yüklemeniz gerekir.
VPN profilleri oluşturma
VPN profili oluşturmak için Cihaz profili oluşturma'daki adımları izleyin.
Örnekler için aşağıdaki ekran görüntülerine bakın:
Not
Örneklerde, Android ve iOS VPN profillerinin bağlantı türü Cisco AnyConnect, Windows 10 için bağlantı türü otomatiktir. VPN profili SCEP profiline bağlıdır.
VPN profilleri atama
BIR VPN profili oluşturduktan sonra profili seçili gruplara atayın .
Not
Grup türü dağıtım (kullanıcı grubu veya cihaz grubu) önemlidir ve bu kaynak ilkesi (Güvenilen Sertifikalar, SCEP ve VPN) ile ilgili tüm ilkelerde tutarlı olmalıdır. Dağıtacağınız sertifika türüne bağlıdır. Bir kullanıcı sertifikası dağıtıyorsanız, tüm dağıtımlar bir kullanıcı grubuna (veya tersine) olmalıdır. Dağıtılan sertifika bir cihaz türü ise, bir cihaz grubu kullanın.
Örnekler için aşağıdaki ekran görüntüsüne bakın:
Başarılı VPN profilleri nasıl görünür?
Bu senaryoda Kişisel iş profili olarak kaydedilmiş bir Android cihazı kullanılır. Güvenilir Kök ve SCEP profilleri cihazda zaten yüklü olduğundan, SCEP sertifikalarını yüklemeniz istenmez.
Kurumsal VPN profilini yüklemek için bir bildirim alırsınız:
Bildirimi almazsanız, AnyConnect uygulamasında Dış Denetim seçeneğini etkinleştirmek için Ayarları Değiştir düğmesine dokunun. Ardından bildirimi alırsınız.
AnyConnect uygulamasında SCEP sertifikasını seçin:
Not
Cihaz yöneticisi tarafından yönetilen bir Android cihazı kullanırken, sertifika profili değiştirildiğinde veya kaldırıldığında sertifikalar iptal edilmediğinden veya kaldırılmadığından birden çok sertifika olabilir. Bu senaryoda en yeni sertifikayı seçin. Bu genellikle listede görüntülenen son sertifikadır.
Bu durum Android Enterprise ve Samsung Knox cihazlarında gerçekleşmez. Daha fazla bilgi için bkz. Intune ile Android iş profili cihazlarını yönetme ve Microsoft Intune SCEP ve PKCS sertifikalarını kaldırma.
VPN bağlantısı başarıyla oluşturuldu.
Başarılı VPN profili dağıtımının günlüklerini Şirket Portalı
Bir Android cihazda Omadmlog.log dosyası, cihazda işlendiğinde VPN profilinin ayrıntılı etkinliklerini günlüğe kaydeder. Şirket Portalı uygulamasının ne kadar süreyle yüklendiğine bağlı olarak, en fazla beş Omadmlog.log dosyanız olabilir ve son eşitlemenin zaman damgası ilgili girişleri bulmanıza yardımcı olabilir.
Aşağıdaki örnek, günlükleri okumak ve için arama yapmak için android.vpn.client
CMTrace kullanır.
Örnek günlük:
<Date Time> INFO com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine 13229 00622 Notifying to provision vpn profile 'AnyConnect'.
<Date Time> INFO com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine 13229 00622 VPN Profile "AnyConnect" state changed from RECEIVED to PENDING_USER_INSTALL
<Date Time> VERB com.microsoft.omadm.platforms.android.vpn.client.VpnClient 13229 00002 Creating VPN Provision Intent: anyconnect://create/?host=VPN.contoso.com&name=AnyConnect&usecert=true&keychainalias=UserID
<Date Time> INFO com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine 13229 00002 Vpn profile 'AnyConnect' provisioned and complete.
<Date Time> INFO com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine 13229 00002 VPN Profile "AnyConnect" state changed from PENDING_USER_INSTALL to PROVISIONED
Yaygın sorunları giderme
Sorun 1: VPN profili cihaza dağıtılmıyor
VPN profilinin doğru gruba atandığını doğrulayın.
Intune portalında Cihaz yapılandırma>Profilleri'ni seçin, ardından profili seçin ve ardından Seçilen grupları doğrulamak için Atamalar'ı seçin.
Sorun Gidermebölmesindeki SON İADE zamanını denetleyerek cihazın Intune ile eşitleyebildiğini doğrulayın.
VPN profili Güvenilen Kök ve SCEP profillerine bağlıysa, her iki profilin de cihaza dağıtıldığını doğrulayın. VPN profilinin bu profillere bağımlılığı vardır.
Güvenilir Kök ve SCEP profilleri cihazda yüklü değilse, Şirket Portalı günlük dosyasında (Omadmlog.log) aşağıdaki girdiyi görürsünüz:
<Date Time> INFO com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine 14210 00948 Waiting for required certificates for vpn profile 'androidVPN'.
Not
Güvenilir Kök ve SCEP profilleri cihazda olsa ve uyumlu olsa da VPN profili hala cihazda olmayabilir. Bu sorun, Şirket Portalı uygulamasındaki
CertificateSelector
sağlayıcı belirtilen ölçütlerle eşleşen bir sertifika bulmadığında oluşur. Belirli ölçütler sertifika şablonunda veya SCEP profilinde olabilir. Eşleşen sertifika bulunamazsa cihazdaki sertifikalar dışlanır. Bu nedenle, doğru sertifikaya sahip olmadığından VPN profili atlanır. Bu senaryoda, Şirket Portalı günlük dosyasında (Omadmlog.log) aşağıdaki girdiyi görürsünüz:Waiting for required certificates for vpn profile 'androidVPN'.
Aşağıdaki örnek günlük, Herhangi Bir Amaçlı Genişletilmiş Anahtar Kullanımı (EKU) ölçütü belirtildiğinden sertifikaların dışlandığını gösterir. Ancak, cihaza atanan sertifikalarda bu EKU yoktur:
<Date Time> VERB com.microsoft.omadm.utils.CertUtils 14210 00948 Excluding cert with alias User<ID1> and requestId <requestID1> as it does not have any purpose EKU. <Date Time> VERB com.microsoft.omadm.utils.CertUtils 14210 00948 Excluding cert with alias User<ID2> and requestId <requestID2> as it does not have any purpose EKU. <Date Time> VERB com.microsoft.omadm.utils.CertUtils 14210 00948 0 cert(s) matched criteria: <Date Time> VERB com.microsoft.omadm.utils.CertUtils 14210 00948 2 cert(s) excluded by criteria: <Date Time> INFO com.microsoft.omadm.platforms.android.vpn.client.IntentVpnProfileProvisionStateMachine 14210 00948 Waiting for required certificates for vpn profile '<profile name>'.
Aşağıdaki örnek, SCEP profilinin Belirtilen Herhangi Bir Amaçlı EKU seçeneğine sahip olduğunu gösterir. Ancak, sertifika yetkilisindeki (CA) sertifika şablonunda belirtilmez. Sorunu çözmek için sertifika şablonuna Herhangi Bir Amaç seçeneğini ekleyin veya SCEP profilinden Herhangi Bir Amaç seçeneğini kaldırın.
AnyConnect'in Dış Denetim seçeneğinin etkinleştirildiğini doğrulayın.
Profil oluşturulmadan önce Dış Denetim seçeneğinin etkinleştirilmesi gerekir. Profil cihaza gönderildiğinde, kullanıcıdan Dış Denetim seçeneğini etkinleştirmesi istenir.
Tam sertifika zincirindeki tüm gerekli sertifikaların cihazda olduğunu doğrulayın. Aksi takdirde, Şirket Portalı günlük dosyasında (Omadmlog.log) aşağıdaki girdiyi görürsünüz:
Waiting for required certificates for vpn profile 'androidVPN'.
Daha fazla bilgi için bkz . Eksik ara sertifika yetkilisi.
Sorun 2: VPN profili cihaza dağıtıldı, ancak cihaz ağa bağlanamıyor
Genellikle bu bağlantı sorunu Intune bir sorun değildir ve bunun birçok nedeni olabilir. Aşağıdaki öğeler sorunu anlamanıza ve gidermenize yardımcı olabilir:
VPN profilinde aynı ölçütlere sahip bir sertifika kullanarak ağa el ile bağlanabilir misiniz?
Bunu yapabilirseniz, el ile bağlantıda kullandığınız sertifikanın özelliklerini denetleyin ve Intune VPN profilinde değişiklikler yapın.
Android ve iOS cihazları için VPN istemcisi Uygulama günlükleri cihazın VPN profiline bağlanmaya çalıştığını gösterdi mi?
Genellikle, bağlantı hataları VPN istemcisi uygulama günlüklerine kaydedilir.
Windows cihazları için Radius sunucu günlükleri cihazın VPN profiline bağlanmayı denediğini gösterdi mi?
Genellikle bağlantı hataları Radius sunucu günlüklerine kaydedilir.
AnyConnect uygulamasında günlükleri görüntüleme
Günlükleri görüntülemek için Android ve iOS cihazları için aşağıdaki iki örneğe bakın.
Örnek 1: Android cihazlarda günlükleri görüntüleme
MenüTanılama'yı> seçin.
Sertifikaları görüntülemek için Sertifika Yönetimi'ni seçin.
AnyConnect sorunlarını analiz etmek üzere günlükleri görüntülemek için Günlüğe Kaydetme ve Sistem Bilgileri>Hata Ayıklama'yı seçin.
Günlükleri göndermek için Menü>Günlükleri>Raporu Yöneticiye Gönder'i seçin.
Hata ayıklama günlüklerini aldıktan sonra profil oluşturma ve bağlantı bilgileri için debug_logs_unfiltered.txt dosyasını denetleyin.
VPN oluşturma için örnek günlük:
<Date Time> I/AnyConnect(14530): URIHandlerActivity: Received command: anyconnect://create?host=VPN.Contoso.com&name=AnyConnect&usecert=true&keychainalias=UserID
<Date Time> I/AnyConnect(14530): VpnService: VpnService is being created.
VPN bağlantısı hatası için örnek günlük:
<Date Time> I/vpnapi (14530): Message type information sent to the user: Contacting VPN.Contoso.com.
<Date Time> I/vpnapi (14530): Initiating VPN connection to the secure gateway https://VPN.Contoso.com
<Date Time> I/acvpnagent(14592): Using default preferences. Some settings (e.g. certificate matching) may not function as expected if a local profile is expected to be used. Verify that the selected host is in the server list section of the profile and that the profile is configured on the secure gateway.
<Date Time> I/acvpnagent(14592): Function: processConnectNotification File: MainThread.cpp Line: 14616 Received connect notification (host VPN.Contoso.com, profile N/A)
<Date Time> W/acvpnagent(14592): Function: getHostIPAddrByName File: SocketSupport.cpp Line: 344 Invoked Function: ::getaddrinfo Return Code: 11 (0x0000000B) Description: unknown
<Date Time> W/acvpnagent(14592): Function: resolveHostName File: HostLocator.cpp Line: 710 Invoked Function: CSocketSupport::getHostIPAddrByName Return Code: -31129588 (0xFE25000C) Description: SOCKETSUPPORT_ERROR_GETADDRINFO
<Date Time> W/acvpnagent(14592): Function: ResolveHostname File: HostLocator.cpp Line: 804 Invoked Function: CHostLocator::resolveHostName Return Code: -31129588 (0xFE25000C) Description: SOCKETSUPPORT_ERROR_GETADDRINFO failed to resolve host name VPN.Contoso.com to IPv4 address
<Date Time> I/vpnapi (14530): Message type warning sent to the user: Connection attempt has failed.
<Date Time> E/vpnapi (14530): Function: processIfcData File: ConnectMgr.cpp Line: 3399 Content type (unknown) received. Response type (DNS resolution failed) from VPN.Contoso.com: DNS resolution failed
<Date Time> I/vpnapi (14530): Message type warning sent to the user: Unable to contact VPN.Contoso.com.
<Date Time> E/vpnapi (14530): Function: processIfcData File: ConnectMgr.cpp Line: 3535 Unable to contact VPN.Contoso.com DNS resolution failed
<Date Time> I/vpnapi (14530): Message type error sent to the user: The VPN connection failed due to unsuccessful domain name resolution.
Örnek 2: iOS cihazlarında günlükleri görüntüleme
Kullanıcı sertifikasını görüntülemek için Tanılama Sertifikaları'nı> seçin.
Günlük iletilerini görüntülemek için Tanılama'yı seçin, günlüğe kaydetmeyi etkinleştirmek için VPN Hata Ayıklama Günlükleri seçeneğini etkinleştirin ve ardından Günlükler'i seçin.
- Hizmet hata ayıklama günlük iletilerini görüntülemek için Hizmet'i seçin.
- Uygulama hata ayıklama günlük iletilerini görüntülemek için Uygulama'yı seçin.
Günlükleri göndermek için Tanılama penceresinde GünlükleriPaylaş'ı seçin, sorunla ilgili bilgileri girin ve gönder'i seçin.
Hata ayıklama günlüklerini aldıktan sonra, profil oluşturma ve bağlantı bilgileri için dosyaları denetleyin.
VPN profilini gösteren AnyConnect_App_Debug_Logs.txt dosyasının örnek günlüğü:
[<Date Time>] Info: Function: SaveSettings File: AppleVpnConfig.mm Line: 198 SaveSettings {type = mutable dict, count = 3, entries => 0 : {contents = "RemoteAddress"} = {contents = "Contoso.com"} 1 : {contents = "AuthenticationMethod"} = {contents = "Certificate"} 2 : {contents = "LocalCertificate"} = <69646e74 00000000 000002d3> }
[<Date Time>] Info: Function: GetSettings File: AppleVpnConfig.mm Line: 175 GetSettings { AuthenticationMethod = Certificate; LocalCertificate = <69646e74 00000000 000002d3>; RemoteAddress = "Contoso.com"; }
[<Date Time>] Info: Function: -[AppleVpnConfigBatch startBatchSaveToSystem] File: AppleVpnConfigBatch.mm Line: 43 Invoking save to system with 0x28202fd60
[<Date Time>] Info: Function: saveToSystem_block_invoke File: AxtVpnConfig.mm Line: 222 Successfully saved profile for Contoso.com
[<Date Time>] Info: Function: -[AppleVpnConfigBatch startBatchSaveToSystem] File: AppleVpnConfigBatch.mm Line: 36 completed!.
VPN bağlantısı hatasını gösteren AnyConnect_Messages.txt dosyasının örnek günlüğü:
[<Date Time>] [VPN] - Contacting Contoso.com.
[<Date Time>] [VPN] - Connection attempt has failed.
[<Date Time>] [VPN] - Unable to contact CoolBreeze.com.
[<Date Time>] [VPN] - Connection attempt has timed out. Please verify Internet connectivity.
VPN bağlantısı hatasını gösteren AnyConnect_Plugin_Debug_Logs.txt dosyasının örnek günlüğü:
[<Date Time>] Info: Message type information sent to the user: Contacting Contoso.com.
[<Date Time>] Info: Initiating VPN connection to the secure gateway https://Contoso.com
[<Date Time>] Info: Function: NoticeCB File: AnyConnectAuthenticator.cpp Line: 2116 Sending notice Contacting Contoso.com. to App
[<Date Time>] Error: Function: SendRequest File: CTransportCurlStatic.cpp Line: 2046 Invoked Function: curl_easy_perform Return Code: -29949904 (0xFE370030) Description: CTRANSPORT_ERROR_TIMEOUT 28 : Error
[<Date Time>] Error: Function: TranslateStatusCode File: ConnectIfc.cpp Line: 3169 Invoked Function: TranslateStatusCode Return Code: -29949904 (0xFE370030) Description: CTRANSPORT_ERROR_TIMEOUT Connection attempt has timed out. Please verify Internet connectivity.
[<Date Time>] Error: Function: doConnectIfcConnect File: ConnectMgr.cpp Line: 2442 Invoked Function: ConnectIfc::connect Return Code: -29949904 (0xFE370030) Description: CTRANSPORT_ERROR_TIMEOUT
[<Date Time>] Info: Message type warning sent to the user: Connection attempt has failed.
[<Date Time>] Error: Function: processIfcData File: ConnectMgr.cpp Line: 3407 Content type (unknown) received. Response type (host unreachable) from Contoso.com:
[<Date Time>] Info: Message type warning sent to the user: Unable to contact Contoso.com.
[<Date Time>] Info: Function: NoticeCB File: AnyConnectAuthenticator.cpp Line: 2116 Sending notice Connection attempt has failed. to App
[<Date Time>] Error: Function: processIfcData File: ConnectMgr.cpp Line: 3543 Unable to contact Contoso.com
[<Date Time>] Info: Function: NoticeCB File: AnyConnectAuthenticator.cpp Line: 2116 Sending notice Unable to contact Contoso.com. to App
[<Date Time>] Info: Message type error sent to the user: Connection attempt has timed out. Please verify Internet connectivity.
Daha fazla bilgi
Hala ilgili bir sorunun çözümünü arıyorsanız veya Microsoft Intune hakkında daha fazla bilgi edinmek istiyorsanız Microsoft Intune forumunda bir soru gönderin. Birçok destek mühendisi, MVP ve geliştirme ekibinin üyeleri forumları ziyaret eder. Bu nedenle, ihtiyacınız olan bilgileri içeren birini bulma şansınız yüksek.
Microsoft Intune ürün destek ekibine bir destek isteği açmak istiyorsanız bkz. Microsoft Intune için destek alma.
Intune'daki VPN profilleri hakkında daha fazla bilgi için aşağıdaki makalelere bakın:
- Intune'da VPN'yi yapılandırmak için Android cihaz ayarları
- Microsoft Intune'da iOS cihazlarında VPN ayarlarını yapılandırma
- Intune kullanarak VPN bağlantıları eklemek için Windows 10 ve Windows Holographic cihaz ayarları
- Destek İpucu - Intune'de SCEP sertifika dağıtımları için NDES'yi yapılandırma
- Microsoft Intune'de SCEP sertifika profili dağıtımı sorunlarını giderme
- Microsoft Intune sertifika profilleriyle kullanım için NDES yapılandırması sorunlarını giderme
En son haberler, bilgiler ve teknik ipuçları için resmi blogları ziyaret edin: