VPN-Dienst - Supportinformationen

Bitte bei Supportanfragen folgende Informationen zum fehlerhaften VPN-Login-Versuch/Problemfall beifügen:

• genauer Zeitpunkt (Tag, Stunde, Minute),
• eigene IP-Adresse (kann mit https://www.heise.de/netze/tools/meine-ip-adresse abgefragt werden),
• Typ/Version des Betriebssystems auf dem betreffenden Rechner,
• Version des Cisco Secure Clients,
• kurze Fehler-/Problembeschreibung.

Information (31.01.2023): Windows-Versionen, älter als Windows 10, werden vom aktuellen Cisco Secure Client (5.x) nicht mehr unterstützt. Zur Lösung des Problems kann und sollte der betreffende Rechner auf eine aktuelle Windows-Version aktualisiert werden. Aktuelle Windows-Versionen sind derzeit im Rahmen einer Campuslizenz für BTU-Angehörige verfügbar.

Information (31.01.2023): Versionen von macOS, älter als Version 11, werden vom aktuellen Cisco Secure Client (5.x) nicht mehr unterstützt. Zur Lösung des Problems kann und sollte der betreffende Rechner auf eine aktuelle macOS-Version aktualisiert werden. Siehe ggf. auch: http://www.apple.com/de/macos/how-to-upgrade

Information (31.01.2023): Die Software "Lenovo Rapid Boot", "RapidBoot Shield" bzw. "RapidBoot HDD Accelerator" kann für das Auftreten der Meldung "VPN Service not available" beim Start des AnyConnect Clients verantwortlich sein. Diese Produkte sind inkompatibel mit dem AnyCobbect Client. Deinstallieren bzw. Deaktivieren Sie diese, wenn Sie den AnyConnect Client nutzen möchten.

Information (28.04.2022): Die Deinstallation des AnyConnect Clients sollte unter macOS wie folgt vorgenommen werden:

Finder => Programme => Cisco => Uninstall AnyConnect

Wird die Deinstallation auf andere Weise versucht, können Reste des AnyConnect Clients auf dem System verbleiben, die eine erneute Installation des AnyConnect Clients verhindern. Ist das der Fall, so kann versucht werden, diese Reste des AnyConnect Clients mit folgendem Befehl (in einem Terminal) zu beseitigen:

sudo pkgutil --forget com.cisco.pkg.anyconnect.vpn

Dabei ist die Eingabe des Admin-Passwortes für das betreffende macOS-System erforderlich.

Information (24.06.2021): Unter macOS 11.4 werden zurzeit Probleme mit dem AnyConnect Client Version <= 4.10.01075 beobachtet. Auch bei nicht aufgebauter VPN-Verbindung kann die CPU-Last der Prozesse com.cisco.anyconnect.macos.acsockext und mDNSResponder auf einen sehr hohen Wert, um die 100%, ansteigen. Ausgelöst wird das Fehlverhalten durch die konfigurierte "link-local" Adresse in der DNS-Konfiguration auf einem der Netzwerkadapter auf dem System. Der Bug ist beim Hersteller Cisco bekannt - es wird an einer fehlerbereinigten Version gearbeitet. Bis diese bereitgestellt werden kann, wird folgender Workaround empfohlen:

Prüfen Sie, ob eine "link-local" Adresse in der DNS-Konfiguration in einem der Netzwerkadapter auf dem System vorhanden ist (System Preferences => Network). Ist das so - entfernen Sie diese "link-local" Adresse.

Hinweis: Bei älteren macOS-Versionen wurde das Problem bislang noch nicht beobachtet.

Information (17.04.2014): Für den VPN-Verbindungsaufbau ist ab Version 3.1.x des AnyConnect Clients der Zugriff auf den browser- bzw. systeminternen Zertifikatsspeicher erforderlich. Damit wird sichergestellt, dass der Cisco AnyConnect Client ausschließlich Verbindungen zu vertrauenswürdigen VPN-Servern aufbaut.
Ist der systeminterne Zugriff auf die genannten Zertifikatspeicher nicht möglich, erscheint folgende Fehlermeldung:

Security Warning: Untrusted VPN Server Certificate
AnyConnect cannot verify the VPN server: vpn-gate.tu-cottbus.de
...

Zur Lösung des Problems wird empfohlen, den internen Zertifikatspeicher des Cisco AnyConnect VPN Clients zu aktivieren und das Deutsche Telekom Root CA 2 Zertifikat in diesen zu importieren. Nutzen Sie dazu folgende Befehle auf Ihrem Linux-System:

mkdir -p ~/.cisco/certificates/ca
cd ~/.cisco/certificates/ca
wget www.pki.dfn.de/fileadmin/PKI/zertifikate/deutsche-telekom-root-ca-2.pem

Information (29.10.2013): Unter Mac OS X 10.9 (Mavericks) treten bei VPN-Verbindungen über den Cisco AnyConnect Secure Mobility Client wiederholt Abbrüche auf. Das Problem ist bei Cisco bekannt. Laut Aussage des Unternehmens wird bereits mit Apple an einer Lösung für dieses Problem gearbeitet.

Nachtrag (04.11.2013): Das Problem ist ab der Version 3.1.04074 des Cisco AnyConnect Secure Mobility Clients behoben.

Information (17.04.2013): Bei der automatisierten Installation und Konfiguration des Cisco AnyConnect VPN Clients tritt zurzeit das Problem auf, dass dieser Vorgang mit der Sicherheitsinformation: Die Signatur dieser Anwendung ist abgelaufen unterbrochen wird. Bis das Problem behoben ist, wird empfohlen die Installation des Cisco AnyConnect Secure Mobility Clients von Hand vorzunehmen. Die einzelnen Arbeitsschritte, die dazu notwendig sind, sind hier beschrieben.

Information (26.10.2011): Tritt bei der Installation des Cisco AnyConnect Secue Mobility Clients die Fehlermeldung: "The vpn client agent was unable to create the interprocess communication depot." auf, so wird empfohlen, die "Gemeinsame Nutzung der Internetverbindung" für alle Netzwerkkarten auf dem System wie folgt zu deaktivieren:

• Start => Systemsteuerung => ggf. Anzeige: Kleine Symbole => Netzwerk- und Freigabecenter => Netzwerkverbindungen verwalten (unter Windows 7: Adaptereinstellungen ändern)
• Rechte Maustaste auf jede Netzwerkverbindung => Eigenschaften => Freigabe
• Gemeinsame Nutzung der Internetverbindung deaktivieren

Information (aktualisiert am 28.11.2023): Wenn die Anmeldung an einer (im Campusnetz der BTU befindlichen) Windows Domain vorgenommen werden soll, kann es erforderlich sein, dass bereits vor der Windows-Anmeldung eine VPN-Verbindung in das Campusnetz aufgebaut werden muss.

Unter Windows bietet der Cisco Secure Client dafür die Einstellung: "Start before Login". Um diese Einstellung nutzen zu können, muss die folgende Komponente des Cisco AnyConnect Secure Mobility Clients separat installiert werden: cisco-secure-client-win-5.1.2.42-sbl-predeploy-k9.msi

Wie auch bei der PPP-Einwahl werden die IP-Adressen vom VPN-Gateway dynamisch vergeben. Das heisst, dem VPN-Client wird nicht immer die selbe IP-Adresse zugewiesen. Das kann bei Windows PC's zu Unregelmässigkeiten besonders beim mehrmaligen Auf- und Abbau der IPSec-Verbindung führen. Sie lösen das Problem, indem Sie auf dem Client-PC die Datei: Lmhosts erstellen (siehe auch Dokumentation zu Ihrem Windows Betriebssystem). Darin tragen Sie für Ihren Zielrechner die feste Zuordnung seiner IP-Adresse zu seinem Namen in der Windowsumgebung ein. Bei NT-Servern muss zusätzlich der Domainname eingetragen werden. Für die erforderlichen Daten sollten Sie sich ggf. an den Systemadministrator in Ihrem Lehrstuhl wenden.