[Gelöst] Citrix Secure Access + NCP VPN: IPv4/DHCP blockiert – Lösung ohne DNE-Filter

[Cs368]

Problem:​

Auf einem Windows-11-Laptop waren zwei VPN-Programme installiert:

• Citrix Secure Access, ursprünglich Version 25.7.1.11
• NCP Secure Entry Client, Version 13.31

Beide Programme funktionierten zunächst problemlos nebeneinander. Es wurde immer nur eine VPN-Verbindung gleichzeitig verwendet.
Nach einer fehlgeschlagenen Citrix-Aktualisierung und anschließender manueller Neuinstallation von Citrix kam es zu massiven Netzwerkproblemen.

Fehlerbild:

• Keine IPv4-Internetverbindung mehr, selbst ohne aktive VPN-Verbindung.
• Teilweise wurde keine gültige IPv4-Adresse vom Router bezogen, sondern nur eine automatische Adresse aus dem Bereich 169.254.x.x (APIPA).
• ping 1.1.1.1 meldete „Allgemeiner Fehler“ oder Zeitüberschreitungen.
• Selbst der lokale Router war über IPv4 nicht mehr erreichbar.
• IPv6 funktionierte teilweise weiterhin.
• Der Fehler trat nach einem Neustart erneut auf.

Fehlersuche:
In den Eigenschaften des WLAN-Adapters waren zwei Netzwerkfilter aktiv:

• DNE LightWeight Filter (Citrix)
• NCP Filter (NCP Secure Entry Client)

Das vorübergehende Deaktivieren eines der Filter konnte die IPv4-Verbindung zeitweise wiederherstellen. Nach Neustarts trat die Störung jedoch erneut auf.

Folgende Maßnahmen brachten keine dauerhafte Lösung:

• netsh winsock reset
• netsh int ip reset
• DNS-Cache löschen
• NCP-Aktualisierung auf Version 13.33
• Citrix-Neuinstallation mit standardmäßiger Treiberkonfiguration
• Nachträgliches Umschalten auf WFP bei bereits installiertem DNE-Treiber

Eine Windows-Systemwiederherstellung auf den Zustand vor der Citrix-Aktualisierung stellte die Funktion von NCP und IPv4 wieder her.

Erfolgreiche Lösung: Citrix ohne DNE installieren​

Citrix dokumentiert selbst mögliche Unverträglichkeiten des DNE-Treibers mit Netzwerksoftware anderer Hersteller und unterstützt alternativ eine Installation ausschließlich mit der Windows Filtering Platform (WFP).
Folgendes Vorgehen war erfolgreich:

1. Citrix Secure Access vollständig deinstallieren.
Anschließend Windows neu starten und kontrollieren, ob die Citrix-Treiber entfernt wurden.
In der Eingabeaufforderung als Administrator:
sc query dne
sc query cag
Beide Befehle lieferten Fehler 1060 (Dienst nicht installiert).
2. Vor der Neuinstallation folgende Registry-Einstellungen setzen:
Registrierungspfad:
HKEY_LOCAL_MACHINE\SOFTWARE\Citrix\Secure Access Client
Dort zwei DWORD-Werte (32-Bit) erstellen:
SkipDNE = 1
EnableWFP = 1
Damit soll die Installation des DNE-Netzwerkfilters unterbleiben und stattdessen WFP verwendet werden.
3. Citrix Secure Access neu installieren.
In diesem Fall wurde Version 26.6.1.20 verwendet.
Anschließend Windows neu starten.
4. Treiberinstallation überprüfen:
sc query dne
Ergebnis: Fehler 1060 – DNE nicht installiert.
sc query ctxsgwcallout
Ergebnis: RUNNING – Citrix-WFP-Treiber aktiv.
In den WLAN-Eigenschaften war jetzt nur noch der NCP Filter vorhanden, nicht mehr der DNE LightWeight Filter.
Ergebnis
Nach dieser Neuinstallation funktionierten:

• IPv4-Adressvergabe über DHCP
• Internetzugang über IPv4
• NCP Secure Entry Client einschließlich VPN-Verbindung
• Citrix Secure Access einschließlich VPN-Verbindung
• Normaler Internetzugang nach Beendigung der Citrix-Verbindung

Der Konflikt war damit behoben.
Die Ursache lag offenbar in der Wechselwirkung der Citrix-DNE-Netzwerkfiltertechnik mit dem NCP-Netzwerkfilter beziehungsweise in deren Einbindung nach der Citrix-Aktualisierung.
Wichtig: Das Entfernen des DNE-Häkchens allein war keine dauerhafte Lösung. Erst die vollständige Neuinstallation von Citrix mit SkipDNE=1 und EnableWFP=1 führte zum Erfolg.

Hinweis: Dies ist ein Erfahrungsbericht und keine allgemeine Erfolgsgarantie. Die WFP-only-Konfiguration muss vom jeweiligen VPN-Gateway unterstützt werden. Vor der Deinstallation sollten VPN-Konfigurationen gesichert und möglichst ein Windows-Wiederherstellungspunkt angelegt werden.

Vielleicht hilft diese Lösung anderen Anwendern, bei denen Citrix Secure Access und NCP beziehungsweise NCP-basierte VPN-Clients die IPv4-Kommunikation blockieren.

 

[holdes]

Was ich mal so noch mit in den Raum werfen würde, weil ich schon seit vielen Jahren NCP Clients auf Windows einsetze: man sollte stets eine aktuelle Lizenz für NCP haben und den Client auch tatsächlich dann und wann mal updaten. Selbst vor kurzem erst Bluescreens und Abstürze erlebt weil der NCPFilter Treiber sich mit dem aktuellen Windows Build nicht mehr vertragen hat.

Vielleicht hat das ja auch bei dir eine Auswirkung auf das Problem gehabt, unabhängig davon, dass du einen funktionierenden Workaround gefunden hast .

 

[Cs368]

Lieber Holdes, aktuelle Treiber und VPN-Versionen sind in der Tat sehr wichtig und können so manches Problem lösen. In diesem Fall habe ich sehr viel probiert, alle beteiligte Software aktualisiert, hat keine Veränderung gebracht, daher mit der Systemwiederherstellung auf letzten funktionierenden Stand zurück (vor der Citrix-Aktualisierung).
Die Citrix-Installation ohne DNE-Treiber ist von Citrix selbst in Konfliktszenarien empfohlen, also kein "wilder Workaround", sondern eher ein Eingeständnis des Herstellers, dass es mit dem DNE-Treibern und VPN-Filtern anderer Hersteller einfach oft Konflikte gibt, die nicht so leicht zu beseitigen sind.
Hatte das gleiche Problem schon einmal vor einem guten Jahr, damals auch sehr lange an einer Lösung gesessen. u.a. brachte das komplette Rücksetzen des Windows-Netzwerks Erfolg, aber eben nicht dauerhaft.