Error de conexión IKEv2 de VPN siempre activo Código de error 800

Los administradores de VPN siempre activo pueden encontrar un escenario en el que los clientes de Windows 10 no puedan establecer una conexión VPN IKEv2 a un servidor de Enrutamiento y Servicio de Acceso Remoto (RRAS) de Windows Server o a un dispositivo VPN de terceros en las siguientes condiciones.

1. La conexión VPN se configura mediante ProfileXML.
2. ProfileXML incluye el elemento < CryptographySuite>.
3. El servidor VPN está configurado para usar una directiva IPsec personalizada.
4. El servidor VPN solo admite IKEv2.
5. El <NativeProtocolType> en ProfileXML se establece en Automático.

Cuando se cumplen estas condiciones específicas, el cliente no podrá conectarse al servidor VPN mediante IKEv2. El mensaje de error indica:

La conexión remota no se realizó porque los túneles VPN intentados fallaron. El servidor VPN puede ser inalcanzable. Si esta conexión intenta utilizar un túnel L2TP/IPsec, es posible que los parámetros de seguridad necesarios para la negociación IPsec no estén configurados correctamente.

Además, el registro de eventos incluirá un mensaje de error del origen de RasClient con ID de evento 20227 que incluye el siguiente mensaje de error.

El usuario marcó una conexión con nombre que ha fallado. El código de error devuelto en caso de fallo es 800.

Sin embargo, una conexión VPN configurada manualmente con IKEv2 se conectará correctamente en estas mismas condiciones.

Código de error IKEv2 800

El código de error 800 se traduce en ERROR_AUTOMATIC_VPN_FAILED, que es algo ambiguo. La descripción del error es:

No se puede establecer la conexión VPN. Es posible que no se pueda acceder al servidor VPN o que los parámetros de seguridad no estén configurados correctamente para esta conexión.

Profundizar

Un rastro de red de la conexión VPN IKEv2 revela la verdadera fuente del problema, que es un fallo del cliente y el servidor para negociar con éxito una asociación de seguridad (SA) IKEv2. Durante el proceso de inicio de SA, los parámetros ofrecidos por el cliente son inaceptables para el servidor, lo que da lugar a que el servidor devuelva una notificación NO_PROPOSAL_CHOSEN.

Configuración de criptografía personalizada Ignorada

Parece que la conexión VPN siempre activa ignora la configuración de criptografía personalizada definida en el elemento CryptographySuite en ProfileXML. Sin embargo, esto solo ocurre cuando el NativeProtocolType se establece en Automático. Presumiblemente, esto es un error. 🙂

Solución alternativa

Como solución alternativa, establezca el NativeProtocolType en IKEv2. Cuando NativeProtocolType se establece en IKEv2, la conexión VPN reconoce los parámetros IKEv2 definidos en el elemento CryptographySuite y la conexión VPN se establecerá correctamente.

Información adicional

Configuración de seguridad VPN IKEv2 siempre activa

Requisitos de certificado VPN siempre activa para IKEv2

Equilibrio de carga VPN IKEv2 siempre activo con el Equilibrador de carga KEMP LoadMaster