Always On VPN IKEv2 Connection Failure Error Code 800

Always On VPN gli amministratori potrebbero riscontrare uno scenario in cui i client Windows 10 non sono in grado di stabilire una connessione VPN IKEv2 a un server RRAS (Routing and Remote Access Service) di Windows Server o a un dispositivo VPN di terze parti alle seguenti condizioni.

1. La connessione VPN è configurata utilizzando ProfileXML.
2. ProfileXML include l’elemento < CryptographySuite >.
3. Il server VPN è configurato per utilizzare un criterio IPSec personalizzato.
4. Il server VPN supporta solo IKEv2.
5. Il <NativeProtocolType> in ProfileXML è impostato su Automatico.

Quando queste condizioni specifiche sono soddisfatte, il client non sarà in grado di connettersi al server VPN utilizzando IKEv2. Il messaggio di errore indica:

La connessione remota non è stata effettuata perché il tentativo di tunnel VPN non è riuscito. Il server VPN potrebbe essere irraggiungibile. Se questa connessione sta tentando di utilizzare un tunnel L2TP/IPSec, i parametri di sicurezza richiesti per la negoziazione IPSec potrebbero non essere configurati correttamente.

Inoltre, il registro eventi includerà un messaggio di errore dall’origine RasClient con ID evento 20227 che include il seguente messaggio di errore.

L’utente ha composto una connessione denominata che non è riuscita. Il codice di errore restituito in caso di errore è 800.

Una connessione VPN configurata manualmente utilizzando IKEv2 si connetterà correttamente in queste stesse condizioni, tuttavia.

IKEv2 Error Code 800

Error code 800 si traduce in ERROR_AUTOMATIC_VPN_FAILED, che è alquanto ambiguo. La descrizione dell’errore è:

Impossibile stabilire la connessione VPN. Il server VPN potrebbe non essere raggiungibile o i parametri di sicurezza potrebbero non essere configurati correttamente per questa connessione.

Scavare più a fondo

Una traccia di rete della connessione VPN IKEv2 rivela la vera fonte del problema, che è un errore del client e del server di negoziare con successo un IKEv2 security association (SA). Durante il processo di iniziazione SA, i parametri offerti dal client sono inaccettabili per il server, con conseguente notifica NO_PROPOSAL_CHOSEN restituita dal server.

Impostazioni di crittografia personalizzate ignorate

Sembra che la connessione VPN sempre attiva ignori le impostazioni di crittografia personalizzate definite nell’elemento CryptographySuite in ProfileXML. Tuttavia, ciò si verifica solo quando NativeProtocolType è impostato su Automatico. Presumibilmente, questo è un bug. set

Soluzione alternativa

Come soluzione alternativa, impostare NativeProtocolType su IKEv2. Quando NativeProtocolType è impostato su IKEv2, la connessione VPN riconosce i parametri IKEv2 definiti nell’elemento CryptographySuite e la connessione VPN verrà stabilita correttamente.

Ulteriori informazioni

Configurazione di sicurezza IKEv2 VPN sempre attiva

Requisiti del certificato VPN sempre attiva per IKEv2

Bilanciamento del carico IKEv2 VPN sempre attiva con KEMP LoadMaster Load Balancer