{"id":1903,"date":"2023-01-28T19:19:56","date_gmt":"2023-01-28T18:19:56","guid":{"rendered":"https:\/\/hitco.at\/blog\/?p=1903"},"modified":"2023-01-29T11:28:00","modified_gmt":"2023-01-29T10:28:00","slug":"cisco-anyconnect-vpn-in-hyper-v-virtual-machine-vpn-establishment-capability-for-a-remote-user-is-disabled","status":"publish","type":"post","link":"https:\/\/hitco.at\/blog\/cisco-anyconnect-vpn-in-hyper-v-virtual-machine-vpn-establishment-capability-for-a-remote-user-is-disabled\/","title":{"rendered":"Fehlermeldung von Cisco AnyConnect VPN in Hyper-V Virtual Machine: VPN establishment capability for a remote user is disabled"},"content":{"rendered":"\n<p>Versucht man eine VPN-Verbindung mittels Cisco AnyConnect Secure Mobility Client in einer Hyper-V Virtual Machine die z.B. mit Windows 10 oder Windows 11 installiert ist herzustellen, so ist man typischerweise mit folgender Fehlermeldung beim Connect konfrontiert:<\/p>\n\n\n<div class=\"wp-block-image\">\n<figure class=\"aligncenter size-full\"><a href=\"https:\/\/hitco.at\/blog\/wp-content\/uploads\/Cisco-AnyConnect-VPN-establishment-capability-for-remote-user-disabled.png\"><img loading=\"lazy\" decoding=\"async\" width=\"415\" height=\"505\" src=\"https:\/\/hitco.at\/blog\/wp-content\/uploads\/Cisco-AnyConnect-VPN-establishment-capability-for-remote-user-disabled.png\" alt=\"Cisco AnyConnect VPN: VPN establishment capability for a remote user is disabled. A VNP connection will not be established.\" class=\"wp-image-1905\" srcset=\"https:\/\/hitco.at\/blog\/wp-content\/uploads\/Cisco-AnyConnect-VPN-establishment-capability-for-remote-user-disabled.png 415w, https:\/\/hitco.at\/blog\/wp-content\/uploads\/Cisco-AnyConnect-VPN-establishment-capability-for-remote-user-disabled-247x300.png 247w, https:\/\/hitco.at\/blog\/wp-content\/uploads\/Cisco-AnyConnect-VPN-establishment-capability-for-remote-user-disabled-80x97.png 80w\" sizes=\"auto, (max-width: 415px) 100vw, 415px\" \/><\/a><\/figure>\n<\/div>\n\n\n<pre class=\"wp-block-preformatted\"><kbd>Cisco AnyConnect Secure Mobility Client:\n\n<strong>VPN establishment capability for a remote user is disabled<\/strong>. \nA VNP connection will not be established.\n\nAnyConnect was not able to establish a connection to the specified secure gateway. Please try connecting again.<\/kbd>\n<\/pre>\n\n\n\n<h3 class=\"wp-block-heading\">Was bedeutet diese Fehlermeldung?<\/h3>\n\n\n\n<p>Cisco AnyConnect verweigert die Verbindungs-Herstellung, da die Session des in der Hyper-V VM angemeldeten Windows-Benutzer als &#8222;Remote User&#8220; erkannt wurde. <\/p>\n\n\n\n<p>Technischer Hintergrund: Wenn <strong>Hyper-V im Enhanced-Session-Mode<\/strong> betrieben wird, dann ist dies aus Sicht Anyconnect ein RDP (Remote Desktop Protocol, inkl. Datei-Austausch, Clipboard-Sharing etc&#8230; mit dem Virtualisierungs-Host) und somit wird dies etwas irref\u00fchrender Weise als &#8222;Remote User&#8220; klassifiziert.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Abhilfe &#8211; Variante 1: Allow Remote Users<\/h3>\n\n\n\n<p>Um die Cisco AnyConnect VPN-Connection in einer Hyper-V VM mit Enhanced Session Mode zuzulassen muss im VPN Profil (auf der Cisco ASA = VPN Konzentrator mittels des Cisco VPN Profile Editors) das Setting <strong>&#8222;WindowsVPNEstablishment&#8220;<\/strong> von <strong>&#8222;LocalUsersOnly&#8220;<\/strong> auf <strong>&#8222;AllowRemoteUsers&#8220;<\/strong> ge\u00e4ndert werden. Im Profile Editor ist dieses Setting &#8222;<strong>Windows VPN Establishment<\/strong>&#8220; unter <strong>Configuration\u00a0<\/strong>>\u00a0<strong>Remote Access VPN\u00a0<\/strong>>\u00a0<strong>Network (Client) Access\u00a0<\/strong>>\u00a0<strong>AnyConnect Client Profile<\/strong> &#8211; <strong><a rel=\"noreferrer noopener\" href=\"https:\/\/www.cisco.com\/c\/en\/us\/td\/docs\/security\/vpn_client\/anyconnect\/anyconnect40\/administration\/guide\/b_AnyConnect_Administrator_Guide_4-0\/anyconnect-profile-editor.html#ID-1430-0000006c\" target=\"_blank\">Preferences (Part 1)<\/a><\/strong> zu finden: <\/p>\n\n\n\n<ul class=\"wp-block-list\">\n<li><strong>Windows VPN Establishment<\/strong> &#8211; Determines the behavior of AnyConnect when a user who is remotely logged on to the client PC establishes a VPN connection.&nbsp;The possible values are:\n<ul class=\"wp-block-list\">\n<li><strong>Local Users Only (Default)<\/strong> &#8211; Prevents a remotely logged-on user from establishing a VPN connection. This is the same functionality as in prior versions of AnyConnect.<\/li>\n\n\n\n<li><strong>Allow Remote Users<\/strong> &#8211; Allows remote users to establish a VPN connection. <\/li>\n<\/ul>\n<\/li>\n<\/ul>\n\n\n\n<p>Die VPN-Konfiguration liegt beim Anyconnect-Client unter <em>C:\\ProgramData\\Cisco\\Cisco Anyconnect Secure Mobility Client\\Profile<\/em>, dort ist ein XML-File je Profil zu finden. Das oben genannte Setting <strong>&#8222;WindowsVPNEstablishment&#8220;<\/strong> = <strong>&#8222;LocalUsersOnly&#8220;<\/strong>=>  <strong>&#8222;AllowRemoteUsers&#8220;<\/strong> ist hier zu finden. Das lokale XML-File zu editieren ist jedoch nicht zielf\u00fchrend, da das VPN-Profil (also diese XML-Datei) bei jeder Verbindungsherstellung neu von der VPN-Gegenstelle auf den Client gepusht und somit \u00fcberschrieben wird.<\/p>\n\n\n\n<h3 class=\"wp-block-heading\">Workaround &#8211; Variante 2: Enhanced Session Mode deaktivieren<\/h3>\n\n\n\n<p>Falls es nicht m\u00f6glich ist die Einstellung im VPN-Profil durch den VPN-Admin anpassen zu lassen, so kann alternativ f\u00fcr Hyper-V der &#8222;Erweiterte Sitzungsmodus&#8220; (= Enhanced Session Mode) deaktiviert werden:<\/p>\n\n\n<div class=\"wp-block-image\">\n<figure class=\"aligncenter size-full\"><a href=\"https:\/\/hitco.at\/blog\/wp-content\/uploads\/Cisco-AnyConnect-VPN-Hyper-V-Erweiterte-Sitzung-deaktivieren.png\"><img loading=\"lazy\" decoding=\"async\" width=\"535\" height=\"156\" src=\"https:\/\/hitco.at\/blog\/wp-content\/uploads\/Cisco-AnyConnect-VPN-Hyper-V-Erweiterte-Sitzung-deaktivieren.png\" alt=\"\" class=\"wp-image-1907\" srcset=\"https:\/\/hitco.at\/blog\/wp-content\/uploads\/Cisco-AnyConnect-VPN-Hyper-V-Erweiterte-Sitzung-deaktivieren.png 535w, https:\/\/hitco.at\/blog\/wp-content\/uploads\/Cisco-AnyConnect-VPN-Hyper-V-Erweiterte-Sitzung-deaktivieren-300x87.png 300w, https:\/\/hitco.at\/blog\/wp-content\/uploads\/Cisco-AnyConnect-VPN-Hyper-V-Erweiterte-Sitzung-deaktivieren-80x23.png 80w\" sizes=\"auto, (max-width: 535px) 100vw, 535px\" \/><\/a><\/figure>\n<\/div>\n\n\n<p>Deaktiviert man den Enhanced Session Mode (= Erweiterte Sitzung) dann wird kein RDP f\u00fcr die VM genutzt und AnyConnect kann selbst dann eine Verbindung herstellen, wenn &#8222;LocalUsersOnly&#8220; konfiguriert ist. <\/p>\n\n\n\n<p>Nachteil: Es steht dann allerdings<strong> kein Copy&amp;Paste Datenaustausch<\/strong> (Dateien, Zwischenablagen-Inhalte) mehr mit der Host-Maschine zur Verf\u00fcgung, die dynamische Anpassung der VM-Monitor-Aufl\u00f6sung an die Fenstergr\u00f6\u00dfe funktioniert dann ebenfalls nicht &#8211; man muss in der VM eine f\u00fcr den eigenen Zweck und Fenstergr\u00f6\u00dfe geeigente Aufl\u00f6sung manuell konfigurieren. <\/p>\n","protected":false},"excerpt":{"rendered":"<p>Versucht man eine VPN Verbindung mittels Cisco AnyConnect in einer Hyper-V Virtual Machine  herzustellen, so erh\u00e4lt man folgende Fehlermeldung:<br \/>\nVPN establishment capability for a remote user is disabled.<br \/>\nA VNP connection will not be established.<br \/>\nAnyConnect was not able to establish a connection to the specified secure gateway.<\/p>\n","protected":false},"author":1,"featured_media":1905,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"ngg_post_thumbnail":0,"footnotes":""},"categories":[3,4,23],"tags":[559,558,560,561],"class_list":["post-1903","post","type-post","status-publish","format-standard","has-post-thumbnail","hentry","category-it","category-security","category-windows","tag-anyconnect","tag-cisco","tag-vpn","tag-vpn-establishment-capability-for-a-remote-user-is-disabled"],"_links":{"self":[{"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/posts\/1903","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/comments?post=1903"}],"version-history":[{"count":6,"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/posts\/1903\/revisions"}],"predecessor-version":[{"id":1930,"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/posts\/1903\/revisions\/1930"}],"wp:featuredmedia":[{"embeddable":true,"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/media\/1905"}],"wp:attachment":[{"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/media?parent=1903"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/categories?post=1903"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/hitco.at\/blog\/wp-json\/wp\/v2\/tags?post=1903"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}