Resolução de problemas: problemas de ligação ponto a site no Azure

  • Artigo

Este artigo lista problemas comuns de conexão ponto a site que você pode enfrentar. Também discute possíveis causas e soluções para esses problemas.

Erro do cliente VPN: não foi possível encontrar um certificado

Sintoma

Quando você tenta se conectar a uma rede virtual do Azure usando o cliente VPN, você receber a seguinte mensagem de erro:

Não foi possível encontrar um certificado que possa ser usado com este protocolo de autenticação extensível. (Erro 798)

Motivo

Esse problema ocorre se o certificado do cliente estiver faltando em certificados - usuário atual\pessoal\certificados.

Solução

Para resolver o problema, siga estes passos:

  1. Abra o Gerenciador de Certificados: clique em Iniciar, digite gerenciar certificados de computador e clique em gerenciar certificados de computador no resultado da pesquisa.

  2. Verifique se os seguintes certificados estão na localização correta:

    Certificado Localização
    AzureClient.pfx Utilizador Atual\Pessoal\Certificados
    AzureRoot.cer Computador Local\Autoridades de Certificação de Raiz Fidedigna

  3. Vá para C:\Users<UserName>\AppData\Roaming\Microsoft\Network\Connections\Cm<GUID>, instale manualmente o certificado (arquivo *.cer) no armazenamento do usuário e do computador.

Para obter mais informações sobre como instalar o certificado de cliente, consulte Gerar e exportar certificados para conexões ponto a site.

Nota

Ao importar o certificado do cliente, não selecione a opção Ativar proteção forte de chave privada.

Não foi possível estabelecer a ligação de rede entre o computador e o servidor VPN porque o servidor remoto não está a responder

Sintoma

Quando você tenta se conectar a um gateway de rede virtual do Azure usando IKEv2 no Windows, você recebe a seguinte mensagem de erro:

Não foi possível estabelecer a ligação de rede entre o computador e o servidor VPN porque o servidor remoto não está a responder

Motivo

O problema ocorre se a versão do Windows não tiver suporte para fragmentação IKE.

Solução

O IKEv2 é suportado no Windows 10 e Windows Server 2016. No entanto, para poder utilizar o IKEv2, tem de instalar as atualizações e definir uma chave de registo localmente. As versões do SO anteriores ao Windows 10 não são suportadas e só podem utilizar SSTP.

Para preparar o Windows 10 ou o Server 2016 para IKEv2:

  1. Instale a atualização.

    Versão do Sistema Operativo Date Número/Ligação
    Windows Server 2016
    Windows 10, Versão 1607    		 17 de janeiro de 2018 KB4057142
    Windows 10, Versão 1703 17 de janeiro de 2018 KB4057144
    Windows 10, Versão 1709 22 de março, 2018 KB4089848

  2. Defina o valor da chave de registo. Crie ou defina HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RasMan\ IKEv2\DisableCertReqPayload REG_DWORD chave no registo como 1.

Erro do cliente VPN: A mensagem recebida foi inesperada ou mal formatada

Sintoma

Quando você tenta se conectar a uma rede virtual do Azure usando o cliente VPN, você receber a seguinte mensagem de erro:

A mensagem recebida foi inesperada ou mal formatada. (Erro 0x80090326)

Motivo

Esse problema ocorre se uma das seguintes condições for verdadeira:

  • O uso de rotas definidas pelo usuário (UDR) com rota padrão na sub-rede de gateway está definido incorretamente.
  • A chave pública do certificado raiz não é carregada no gateway de VPN do Azure.
  • A chave está corrompida ou expirou.

Solução

Para resolver o problema, siga estes passos:

  1. Remova UDR na sub-rede do gateway. Certifique-se de que o UDR encaminha todo o tráfego corretamente.
  2. Verifique o status do certificado raiz no portal do Azure para ver se ele foi revogado. Se não for revogado, tente excluir o certificado raiz e fazer o upload novamente. Para obter mais informações, consulte Criar certificados.

Erro do cliente VPN: uma cadeia de certificados processada, mas encerrada

Sintoma

Quando você tenta se conectar a uma rede virtual do Azure usando o cliente VPN, você receber a seguinte mensagem de erro:

Uma cadeia de certificados processada, mas encerrada em um certificado raiz que não é confiável pelo provedor de confiança.

Solução

  1. Verifique se os seguintes certificados estão na localização correta:

    Certificado Localização
    AzureClient.pfx Utilizador Atual\Pessoal\Certificados
    Azuregateway-GUID.cloudapp.net Usuário Atual\Autoridades de Certificação Raiz Confiáveis
    AzureGateway-GUID.cloudapp.net, AzureRoot.cer Computador Local\Autoridades de Certificação de Raiz Fidedigna

  2. Se os certificados já estiverem no local, tente excluí-los e reinstalá-los. O certificado azuregateway-GUID.cloudapp.net está no pacote de configuração do cliente VPN que você baixou do portal do Azure. Você pode usar arquivadores de arquivos para extrair os arquivos do pacote.

Erro de download de arquivo: URI de destino não especificado

Sintoma

Recebe a seguinte mensagem de erro:

Erro de download do arquivo. O URI de destino não é especificado.

Motivo

Esse problema ocorre devido a um tipo de gateway incorreto.

Solução

O tipo de gateway VPN deve ser VPN e o tipo VPN deve ser RouteBased.

Erro do cliente VPN: falha no script personalizado da VPN do Azure

Sintoma

Quando você tenta se conectar a uma rede virtual do Azure usando o cliente VPN, você receber a seguinte mensagem de erro:

Falha no script personalizado (para atualizar a tabela de roteamento). (Erro 8007026f)

Motivo

Esse problema pode ocorrer se você estiver tentando abrir a conexão VPN site a ponto usando um atalho.

Solução

Abra o pacote VPN diretamente em vez de abri-lo a partir do atalho.

Não é possível instalar o cliente VPN

Motivo

É necessário um certificado adicional para confiar no gateway VPN da sua rede virtual. O certificado está incluído no pacote de configuração do cliente VPN gerado a partir do portal do Azure.

Solução

Extraia o pacote de configuração do cliente VPN e localize o arquivo .cer. Para instalar o certificado, siga estes passos:

  1. Abra mmc.exe.
  2. Adicione o snap-in Certificados .
  3. Selecione a conta Computador do computador local.
  4. Clique com o botão direito do mouse no nó Autoridades de Certificação Raiz Confiáveis. Clique em Importação de Todas as Tarefas> e navegue até o arquivo de .cer extraído do pacote de configuração do cliente VPN.
  5. Reinicie o computador.
  6. Tente instalar o cliente VPN.

Erro do portal do Azure: Falha ao salvar o gateway de VPN e os dados são inválidos

Sintoma

Quando você tenta salvar as alterações para o gateway de VPN no portal do Azure, você receber a seguinte mensagem de erro:

Falha ao salvar o nome> do gateway de gateway de <rede virtual. Os dados para <a ID> do certificado são inválidos.

Motivo

Esse problema pode ocorrer se a chave pública do certificado raiz que você carregou contém um caractere inválido, como um espaço.

Solução

Verifique se os dados no certificado não contêm caracteres inválidos, como quebras de linha (retornos de carro). O valor inteiro deve ser uma linha longa. O texto a seguir é uma amostra do certificado:

-----BEGIN CERTIFICATE-----
MIIC5zCCAc+gAwIBAgIQFSwsLuUrCIdHwI3hzJbdBjANBgkqhkiG9w0BAQsFADAW
MRQwEgYDVQQDDAtQMlNSb290Q2VydDAeFw0xNzA2MTUwMjU4NDZaFw0xODA2MTUw
MzE4NDZaMBYxFDASBgNVBAMMC1AyU1Jvb3RDZXJ0MIIBIjANBgkqhkiG9w0BAQEF
AAOCAQ8AMIIBCgKCAQEAz8QUCWCxxxTrxF5yc5uUpL/bzwC5zZ804ltB1NpPa/PI
sa5uwLw/YFb8XG/JCWxUJpUzS/kHUKFluqkY80U+fAmRmTEMq5wcaMhp3wRfeq+1
G9OPBNTyqpnHe+i54QAnj1DjsHXXNL4AL1N8/TSzYTm7dkiq+EAIyRRMrZlYwije
407ChxIp0stB84MtMShhyoSm2hgl+3zfwuaGXoJQwWiXh715kMHVTSj9zFechYd7
5OLltoRRDyyxsf0qweTFKIgFj13Hn/bq/UJG3AcyQNvlCv1HwQnXO+hckVBB29wE
sF8QSYk2MMGimPDYYt4ZM5tmYLxxxvGmrGhc+HWXzMeQIDAQABozEwLzAOBgNVHQ8B
Af8EBAMCAgQwHQYDVR0OBBYEFBE9zZWhQftVLBQNATC/LHLvMb0OMA0GCSqGSIb3
DQEBCwUAA4IBAQB7k0ySFUQu72sfj3BdNxrXSyOT4L2rADLhxxxiK0U6gHUF6eWz
/0h6y4mNkg3NgLT3j/WclqzHXZruhWAXSF+VbAGkwcKA99xGWOcUJ+vKVYL/kDja
gaZrxHlhTYVVmwn4F7DWhteFqhzZ89/W9Mv6p180AimF96qDU8Ez8t860HQaFkU6
2Nw9ZMsGkvLePZZi78yVBDCWMogBMhrRVXG/xQkBajgvL5syLwFBo2kWGdC+wyWY
U/Z+EK9UuHnn3Hkq/vXEzRVsYuaxchta0X2UNRzRq+o706l+iyLTpe6fnvW6ilOi
e8Jcej7mzunzyjz4chN0/WVF94MtxbUkLkqP
-----END CERTIFICATE-----

Erro do portal do Azure: Falha ao salvar o gateway VPN e o nome do recurso é inválido

Sintoma

Quando você tenta salvar as alterações para o gateway de VPN no portal do Azure, você receber a seguinte mensagem de erro:

Falha ao salvar o nome> do gateway de gateway de <rede virtual. O nome <do certificado do recurso que você tenta carregar> é inválido.

Motivo

Esse problema ocorre porque o nome do certificado contém um caractere inválido, como um espaço.

Erro do portal do Azure: erro de download do arquivo de pacote VPN 503

Sintoma

Quando você tenta baixar o pacote de configuração do cliente VPN, você receber a seguinte mensagem de erro:

Falha ao baixar o arquivo. Detalhes do erro: erro 503. O servidor está ocupado.

Solução

Este erro pode ser causado por um problema de rede temporário. Tente baixar o pacote VPN novamente depois de alguns minutos.

Atualização do Gateway de VPN do Azure: todos os clientes ponto a site não conseguem se conectar

Motivo

Se o certificado tiver mais de 50% durante sua vida útil, o certificado será substituído.

Solução

Para resolver esse problema, baixe novamente e reimplante o pacote ponto a site em todos os clientes.

Muitos clientes VPN conectados ao mesmo tempo

O número máximo de conexões permitidas é atingido. Você pode ver o número total de clientes conectados no portal do Azure.

O cliente VPN não pode acessar compartilhamentos de arquivos de rede

Sintoma

O cliente VPN se conectou à rede virtual do Azure. No entanto, o cliente não pode acessar compartilhamentos de rede.

Motivo

O protocolo SMB é usado para acesso de compartilhamento de arquivos. Quando a conexão é iniciada, o cliente VPN adiciona as credenciais de sessão e ocorre a falha. Depois que a conexão é estabelecida, o cliente é forçado a usar as credenciais de cache para autenticação Kerberos. Esse processo inicia consultas ao Centro de Distribuição de Chaves (um controlador de domínio) para obter um token. Como o cliente se conecta a partir da Internet, talvez não consiga acessar o controlador de domínio. Portanto, o cliente não pode fazer failover de Kerberos para NTLM.

A única vez que o cliente é solicitado a fornecer uma credencial é quando ele tem um certificado válido (com SAN=UPN) emitido pelo domínio ao qual ele está associado. O cliente também deve estar fisicamente conectado à rede de domínio. Nesse caso, o cliente tenta usar o certificado e entra em contato com o controlador de domínio. Em seguida, o Centro de Distribuição de Chaves retorna um erro "KDC_ERR_C_PRINCIPAL_UNKNOWN". O cliente é forçado a fazer failover para NTLM.

Solução

Para contornar o problema, desative o cache de credenciais de domínio da seguinte subchave do Registro:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa\DisableDomainCreds - Set the value to 1

Não é possível encontrar a conexão VPN ponto a site no Windows depois de reinstalar o cliente VPN

Sintoma

Remova a conexão VPN ponto a site e, em seguida, reinstale o cliente VPN. Nessa situação, a conexão VPN não é configurada com êxito. Você não vê a conexão VPN nas configurações de conexões de rede no Windows.

Solução

Para resolver o problema, exclua os arquivos de configuração do cliente VPN antigos de C:\Users\UserName\AppData\Roaming\Microsoft\Network\Connections<VirtualNetworkId> e execute o instalador do cliente VPN novamente.

O cliente VPN ponto a site não pode resolver o FQDN dos recursos no domínio local

Sintoma

Quando o cliente se conecta ao Azure usando a conexão VPN ponto a site, ele não pode resolver o FQDN dos recursos em seu domínio local.

Motivo

O cliente VPN ponto a site normalmente usa servidores DNS do Azure configurados na rede virtual do Azure. Os servidores DNS do Azure têm precedência sobre os servidores DNS locais configurados no cliente (a menos que a métrica da interface Ethernet seja menor), portanto, todas as consultas DNS são enviadas para os servidores DNS do Azure. Se os servidores DNS do Azure não tiverem os registros para os recursos locais, a consulta falhará.

Solução

Para resolver o problema, certifique-se de que os servidores DNS do Azure usados na rede virtual do Azure podem resolver os registros DNS para recursos locais. Para fazer isso, você pode usar encaminhadores DNS ou encaminhadores condicionais. Para obter mais informações, consulte Resolução de nomes usando seu próprio servidor DNS.

A conexão VPN ponto a site é estabelecida, mas você ainda não pode se conectar aos recursos do Azure

Motivo

Esse problema pode ocorrer se o cliente VPN não obter as rotas do gateway de VPN do Azure.

Solução

Para resolver esse problema, redefina o gateway de VPN do Azure. Para certificar-se de que as novas rotas estão sendo usadas, os clientes VPN Ponto a Site devem ser baixados novamente após o emparelhamento de rede virtual ter sido configurado com êxito.

Erro: "A função de revogação não pôde verificar a revogação porque o servidor de revogação estava offline. (Erro 0x80092013)"

Causas

Essa mensagem de erro ocorre se o cliente não puder acessar http://crl3.digicert.com/ssca-sha2-g1.crl e http://crl4.digicert.com/ssca-sha2-g1.crl. A verificação de revogação requer acesso a esses dois sites. Esse problema normalmente acontece no cliente que tem o servidor proxy configurado. Em alguns ambientes, se as solicitações não estiverem passando pelo servidor proxy, elas serão negadas no firewall de borda.

Solução

Verifique as configurações do servidor proxy, certifique-se de que o cliente pode acessar http://crl3.digicert.com/ssca-sha2-g1.crl e http://crl4.digicert.com/ssca-sha2-g1.crl.

Erro do Cliente VPN: A ligação foi impedida devido a uma política configurada no seu servidor RAS/VPN. (Erro 812)

Motivo

Este erro ocorre se o servidor RADIUS que utilizou para autenticar o cliente VPN tiver definições incorretas ou se o Gateway do Azure não conseguir aceder ao servidor Radius.

Solução

Verifique se o servidor RADIUS está configurado corretamente. Para obter mais informações, consulte Integrar a autenticação RADIUS com o Servidor Azure Multi-Factor Authentication.

"Erro 405" ao baixar o certificado raiz do VPN Gateway

Motivo

O certificado raiz não foi instalado. O certificado raiz é instalado no armazenamento de certificados confiáveis do cliente.

Erro do Cliente VPN: A conexão remota não foi feita porque a tentativa de túneis VPN falhou. (Erro 800)

Motivo

O driver da NIC está desatualizado.

Solução

Atualize o driver da NIC:

  1. Clique em Iniciar, digite Gerenciador de Dispositivos e selecione-o na lista de resultados. Se for solicitada uma senha de administrador ou confirmação, digite a senha ou forneça a confirmação.
  2. Nas categorias Adaptadores de rede, localize a NIC que você deseja atualizar.
  3. Clique duas vezes no nome do dispositivo, selecione Atualizar driver, selecione Pesquisar automaticamente software de driver atualizado.
  4. Se o Windows não encontrar um novo controlador, pode tentar procurar um no Web site do fabricante do dispositivo e seguir as instruções.
  5. Reinicie o computador e tente a conexão novamente.

Erro do Cliente VPN: Discagem Conexão <VPN Nome> da Conexão VPN, Status = A Plataforma VPN não acionou a conexão

Você também pode ver o seguinte erro no Visualizador de Eventos do RasClient: "O usuário <discou> uma conexão chamada <Nome da Conexão> VPN que falhou. O código de erro retornado em caso de falha é 1460."

Motivo

O Cliente VPN do Azure não tem a Permissão de Aplicativo "Aplicativos em segundo plano" habilitada nas Configurações do Aplicativo para Windows.

Solução

  1. No Windows, aceda a Definições -> Privacidade -> Aplicações em segundo plano
  2. Alterne a opção "Permitir que os aplicativos sejam executados em segundo plano" para Ativado

Erro: 'Erro de download de arquivo URI de destino não é especificado'

Motivo

Isso é causado por um tipo de gateway incorreto está configurado.

Solução

O tipo de gateway de VPN do Azure deve ser VPN e o tipo de VPN deve ser RouteBased.

O instalador do pacote VPN não é concluído

Motivo

Esse problema pode ser causado pelas instalações anteriores do cliente VPN.

Solução

Exclua os arquivos de configuração antigos do cliente VPN de C:\Users\UserName\AppData\Roaming\Microsoft\Network\Connections<VirtualNetworkId> e execute o instalador do cliente VPN novamente.

O cliente VPN hiberna ou suspende

Solução

Verifique as configurações de suspensão e hibernação no computador em que o cliente VPN está sendo executado.

Não consigo resolver registos em Zonas DNS Privadas utilizando o Resolvedor Privado de clientes ponto-a-site.

Sintoma

Quando estiver a utilizar o servidor DNS fornecido pelo Azure (168.63.129.16) na rede virtual, os clientes ponto a site não poderão resolver registos presentes em Zonas DNS Privadas (incluindo pontos de extremidade privados).

A captura de tela mostra o Cliente VPN do Azure, uma janela aberta do PowerShell e a página de servidores DNS do portal do Azure.

Motivo

O endereço IP do servidor DNS do Azure (168.63.129.16) só pode ser resolvido a partir da plataforma Azure.

Solução

As etapas a seguir ajudam a resolver registros da zona DNS Privada:

Configurar o endereço IP de entrada do resolvedor privado como servidores DNS personalizados na rede virtual ajuda a resolver registros na zona DNS privada (incluindo aqueles criados a partir de pontos de extremidade privados). Observação As zonas DNS privadas devem ser associadas à rede virtual que tem o Resolvedor Privado.

A captura de tela mostra o Cliente VPN do Azure, uma janela aberta do PowerShell e a página Portal do Azure aberta para servidores DNS.

Por padrão, os servidores DNS configurados em uma rede virtual serão enviados por push para clientes ponto a site conectados via gateway VPN. Assim, configurar o endereço IP de entrada do resolvedor privado como servidores DNS personalizados na rede virtual enviará automaticamente esses endereços IP para os clientes como o servidor DNS VPN e você poderá resolver perfeitamente os registros de zonas DNS privadas (incluindo pontos de extremidade privados).