Resolución de problemas del entorno de red de Microsoft después de establecer un túnel VPN con el cliente Cisco VPN

Introducción

Este documento muestra cómo resolver algunos problemas comunes mientras navega por Entorno de red cuando el Cisco VPN Client se ejecuta en plataformas Microsoft Windows/NT.

Nota: Cuando la conectividad IP está presente desde el cliente VPN remoto a los dispositivos de red internos, Microsoft debe resolver los problemas aquí descritos. Navegar por el entorno de red es una función del servicio de navegación de Microsoft, no del Cisco VPN Client. El entorno de red no se admite oficialmente. Sin embargo, funciona si se configura correctamente. Se producen problemas si el PC o los exploradores maestros no funcionan correctamente.

Prerequisites

Requirements

No hay requisitos específicos para este documento.

Componentes Utilizados

La información que contiene este documento se basa en las siguientes versiones de software y hardware.

• Cliente de Cisco VPN

• Sistemas operativos Microsoft Windows XP, 2000, NT, 95, 98

The information in this document was created from the devices in a specific lab environment. All of the devices used in this document started with a cleared (default) configuration. If your network is live, make sure that you understand the potential impact of any command.

Convenciones

Consulte Convenciones de Consejos Técnicos de Cisco para obtener más información sobre las convenciones sobre documentos.

Problemas de navegación

Cuando se establece el túnel VPN, no puede navegar por el entorno de red. Este problema puede deberse a varios problemas comunes de red de Microsoft que se producen con los productos VPN. Los problemas son:

• No se puede hacer ping a los recursos de red y a los equipos por dirección IP, nombre NetBIOS o FQDN.

• No se puede asignar una unidad de red ni navegar por el entorno de red.

• No se puede iniciar sesión en el dominio.

Las soluciones a estos problemas específicos se explican en las diferentes secciones de este documento . Si todavía tiene problemas después de comprobar las soluciones adecuadas, llame a Microsoft para obtener asistencia detallada para la depuración.

No se puede hacer ping a los recursos y equipos de red por dirección IP, nombre NetBIOS o FQDN

En algunos casos, no puede hacer ping en el equipo remoto, el servidor de Windows Internet Naming Service (WINS), el controlador de dominio, el servidor de archivos por dirección IP y el nombre de NetBIOS y el nombre de dominio completo (FQDN, como myserver.mydomain.com). Si puede hacer ping por dirección IP, entonces la conectividad IP está presente. Es muy probable que el problema esté relacionado con el problema de resolución de nombres en la red de Windows.

Nota: Debido a que IPSec no permite multicast ni broadcast por el túnel, NETBIOS no se soporta en el túnel VPN ya que envía broadcasts/multicast a la red para realizar la resolución del nombre.

Pruebe estas sugerencias para resolver el problema.

• Si puede hacer ping a los recursos de red, consulte la sección No se puede asignar una unidad de red ni navegar por el entorno de red.

• Si no puede hacer ping, verifique los dispositivos de routing y los dispositivos de traducción de direcciones de red (NAT) para ver si hay problemas de configuración posibles.

• Para obtener más ayuda, consulte el sitio Web de Microsoft para obtener información sobre TCP/IP y resolución de nombres.

  • Administración de redes TCP/IP

  • El cliente recibe un error al resolver FQDN

  • Orden de resolución de nombres de host de Microsoft TCP/IP

  • NetBIOS sobre resolución de nombres TCP/IP y WINS

  • Resolución de problemas de navegación con cliente para redes Microsoft

  • Tipo de nodo predeterminado para clientes de Microsoft

No se puede asignar una unidad de red o explorar el entorno de red

IPSec no encapsula el tráfico de broadcast NetBIOS. Se necesita un servidor WINS para asignar una unidad en la red de Microsoft.

Tenga en cuenta estas sugerencias cuando intente determinar la raíz del problema.

• Ejecute el comando net use CLI para la unidad compartida a la que intenta acceder.

• Seleccione Inicio > Ejecutar y escriba Buscar equipo para intentar localizar el recurso de red.

• Haga doble clic en el icono Entorno de red. Compruebe que se muestran algunos o todos los recursos de red y PC.

• Verifique que el equipo que ejecuta VPN Client obtenga la información correcta de WINS y del sistema de nombres de dominio (DNS).

  • Seleccione Inicio > Ejecutar y escriba winipcfg (en equipos con Windows 9x) o ipconfig /all (en equipos con Windows NT, 2000 y XP) para ver esta información.

  • Verifique los registros de eventos y las depuraciones para ver la información WINS y DNS que se pasa del dispositivo de cabecera al cliente VPN remoto.

• Si utiliza un archivo LMHOSTS, intente utilizar los nombres de NetBIOS ejecutando el comando nbtstat -c. Después de cargar un archivo LMHOST, la duración es -1.

• Para clientes Windows 9x y ME, verifique que el cliente de red esté cargado. (Esto no se admite en XP Home.)

No se puede iniciar sesión en el dominio

Estos son algunos elementos generales para comprobar si tiene problemas.

• ¿Utiliza la utilidad Cisco VPN Client Start Before Login?

• ¿Utiliza el cliente para las redes de Microsoft en clientes 9x?

• ¿Ve algún mensaje de evento de falla de registro en su controlador de dominio cuando activa las pistas de auditoría?

Aquí se muestra información detallada sobre la resolución de problemas para plataformas operativas específicas.

Windows 95/98

Verifique que el cliente de red esté cargado.

1. Haga clic con el botón derecho del ratón en Entorno de red. Seleccione Properties (Propiedades). Verifique que Client for Microsoft Networks and File and Printer Sharing estén presentes. Instale estas funciones si aún no están instaladas. Reinicie el ordenador si se le solicita que lo haga.

2. En VPN Client, haga clic en Options > Properties > Connections y marque Connect to the Internet via dial-up.

3. En VPN Client, haga clic en Options > Windows Logon Properties y marque Enable start antes de iniciar sesión.

Windows NT, 2000 y XP

Los equipos Windows NT, 2000 y XP se comportan de forma diferente que los equipos Windows 95/98. VPN Client no tiene la opción de iniciar sesión en la red de Microsoft. Le solicita que inicie sesión en el dominio cuando inicie la máquina.

Si intenta establecer una conexión desde un sitio remoto sin acceso al dominio (es decir, no está en la red interna), aparecerá un mensaje de error que indica que "No se ha podido encontrar ningún controlador de dominio".

Cuando intenta establecer un túnel VPN con el concentrador VPN marcando a través de un ISP o usando un servicio DSL, la conexión no le solicita que inicie sesión en un dominio. En su lugar, puede continuar con un enlace seguro.

Asigne una unidad (si no lo ha hecho) para iniciar sesión en el dominio. Haga doble clic en la unidad asignada para obtener el mensaje de contraseña de modo que pueda iniciar sesión en la red.

Compruebe las propiedades de red en el equipo para asegurarse de que el PC se ha configurado con el nombre de dominio correcto, etc.

Nota: La clave es iniciar sesión en el dominio NT correctamente.

Nota: Si desea ejecutar secuencias de comandos de inicio de sesión a través de la máquina NT, habilite la función Activar inicio antes de iniciar sesión en el cliente.

Utilización de una conexión de acceso telefónico

Complete estos pasos para conectarse mediante un módem de acceso telefónico.

1. Cree una conexión de red de acceso telefónico de Microsoft (DUN) al ISP.

2. Active Cliente para redes de Microsoft y uso compartido de archivos e impresoras en su adaptador de acceso telefónico. De forma predeterminada, estas funciones no están activadas. Sin embargo, se necesitan para ejecutar los servicios de Microsoft.

3. Seleccione Inicio > Programas > Cisco Systems VPN Client. Seleccione el menú Opciones. Seleccione Propiedades de inicio de sesión de Windows y asegúrese de que Enable start before login esté seleccionado. Click OK.

   

   

4. Haga clic con el botón derecho del ratón en la entrada de conexión (o cree una, si es necesario) y seleccione Modificar. Vaya a la ficha Dial-up (Marcado) y seleccione Connect to the Internet via Dial-up (Conectarse a Internet mediante el acceso telefónico). Elija la conexión DUN que creó en el paso 1 y haga clic en Guardar.

   

   

5. Cierre la sesión del ordenador. No es necesario reiniciar.

6. Presione Ctrl-Alt-Delete. Introduzca su nombre de usuario y contraseña DUN para conectarse a Internet e iniciar VPN Client.

7. Haga clic en Connect para establecer una conexión con el VPN Client.

8. Cuando se le solicite, introduzca su nombre de usuario y contraseña de Microsoft para iniciar sesión en el dominio.

Dado que está conectado de forma remota, depende de WINS o DNS para saber dónde está el controlador de dominio para el dominio al que accede . Si todavía tiene problemas, hay problemas con los servidores WINS o DNS. Cree un archivo LMHOSTS si obtiene una variación del error que indica "No se encontró ningún controlador de dominio".

Utilizar una conexión Ethernet o de banda ancha

Complete estos pasos para conectarse mediante un servicio de banda ancha de alta velocidad.

1. Active Cliente para redes de Microsoft y uso compartido de archivos e impresoras en su adaptador de acceso telefónico. De forma predeterminada, estas funciones no están activadas. Sin embargo, se necesitan para ejecutar los servicios de Microsoft.

2. Seleccione Inicio > Programas > Cisco Systems VPN Client. Seleccione el menú Opciones. Seleccione Propiedades de inicio de sesión de Windows y asegúrese de que Enable start before login esté seleccionado. Click OK.

   

   

3. Cierre la sesión del ordenador. No es necesario reiniciar.

4. Presione Ctrl-Alt-Delete para iniciar VPN Client.

5. Haga clic en Connect para establecer una conexión con el VPN Client.

6. Cuando se le solicite, introduzca su nombre de usuario y contraseña de Microsoft para iniciar sesión en el dominio.

Dado que está conectado de forma remota, depende de WINS o DNS para saber dónde está el controlador de dominio para el dominio al que accede . Si todavía tiene problemas, puede haber problemas con los servidores WINS o DNS. Cree un archivo LMHOSTS si obtiene una variación del error que indica "No se encontró ningún controlador de dominio".

Examinar el entorno de red

Nota: Navegar por el entorno de red es una función del servicio de navegación de Microsoft, no con Cisco VPN Client. Los problemas suelen deberse a que el PC o los exploradores maestros no funcionan correctamente. El entorno de red oficialmente no es compatible. Sin embargo, funciona si se configura correctamente.

Navegar por el entorno de red funciona al obtener la lista de navegación de un explorador principal o de respaldo. Esta lista se obtiene localmente en la LAN mediante Broadcasts de NetBIOS para encontrar y localizar exploradores de dominio.

Las transmisiones no pasan a través de un túnel IPsec. Asegúrese de que el PC del cliente VPN esté configurado correctamente e inicie sesión en el dominio.

En primer lugar, asegúrese de que NetBIOS sobre TCP está habilitado en el adaptador que utiliza para conectarse al dominio. Asegúrese también de que el Cliente para redes Microsoft esté habilitado. Si es capaz de asignar unidades por dirección IP, NetBIOS está pasando.

Inicie sesión en el dominio.

Cuando el equipo inicia sesión en el dominio, el controlador de dominio (que debe ser el explorador principal del dominio) redirige el servicio de exploración a un explorador principal. A continuación, el explorador maestro se redirige a un explorador de copia de seguridad. Allí obtiene la lista de exploración.

Si hay un problema con el controlador de dominio inicialmente, como no ser el buscador maestro de dominio, entonces nunca dirige el cliente al navegador principal. Solucione los problemas de los servicios de navegación en la LAN mediante BROWSTAT.EXE, que puede obtener del Kit de recursos NT4 (disponible en Microsoft).

Windows ME

Un PC que ejecuta Windows ME es similar a un equipo que ejecuta Windows 98. El PC no inicia sesión en un dominio Windows NT/2000. Configure el nombre del grupo de trabajo de su PC Windows ME para que sea el mismo que el nombre de dominio Windows NT/2000 de modo que el dominio comparta la información de NetBIOS con el cliente VPN.

Información adicional sobre solución de problemas

Si todavía tiene problemas, intente algunas de estas sugerencias adicionales:

• Reduzca el tamaño máximo de la unidad de transmisión (MTU) en el cliente VPN.

  1. Seleccione Inicio > Programas > Cisco Systems VPN Client > Establecer MTU.

  2. Establezca la MTU en 1400 bytes (o inferior). Compruebe que puede utilizar los nombres de NetBIOS. Esto también se utiliza para verificar los paquetes perdidos.

• Seleccione Inicio > Ejecutar. Escriba ipconfig /all para verificar que el VPN Client reciba la información correcta de WINS y DNS del VPN Concentrator. Verifique el registro par para el VPN Client.

• Verifique que el PC que ejecuta VPN Client se registre correctamente con el servidor WINS o DNS a través del protocolo de configuración dinámica de host (DHCP).

• Verifique que no haya dispositivos de filtrado entre el VPN Client y los recursos a los que intenta acceder. Asegúrese de que los puertos necesarios para las redes de Microsoft puedan pasar. De forma predeterminada, el VPN 3000 Concentrator no bloquea ninguno de estos puertos necesarios. Refiérase a Windows NT, Terminal Server y Microsoft Exchange Services Use TCP/IP Ports para obtener más detalles sobre los puertos de red de Microsoft.

Información Relacionada

• Página de soporte de IPSec