zawsze w sieci VPN kod błędu awarii połączenia IKEv2 800

zawsze w sieci VPN administratorzy mogą napotkać scenariusz, w którym klienci systemu Windows 10 nie mogą nawiązać połączenia VPN IKEv2 z serwerem routingu i usługi zdalnego dostępu (RRAS) systemu Windows Server lub urządzeniem VPN innej firmy pod następującymi warunkami.

1. połączenie VPN jest skonfigurowane przy użyciu formatu ProfileXML.
2. ProfileXML zawiera element <CryptographySuite>.
3. serwer VPN jest skonfigurowany do używania niestandardowych zasad IPsec.
4. serwer VPN obsługuje tylko IKEv2.
5. <NativeProtocolType> w ProfileXML jest ustawiony na automatyczny.

po spełnieniu tych szczególnych warunków klient nie będzie mógł połączyć się z serwerem VPN za pomocą IKEv2. Komunikat o błędzie mówi:

połączenie zdalne nie zostało nawiązane, ponieważ próba wykonania tuneli VPN nie powiodła się. Serwer VPN może być nieosiągalny. Jeśli to połączenie próbuje użyć tunelu L2TP / IPsec, parametry bezpieczeństwa wymagane do negocjacji IPsec mogą nie być poprawnie skonfigurowane.

ponadto dziennik zdarzeń będzie zawierał komunikat o błędzie ze źródła RasClient o ID zdarzenia 20227 zawierający następujący komunikat o błędzie.

użytkownik wybrał połączenie nazwane, które nie powiodło się. Kod błędu zwracany w przypadku awarii to 800.

ręcznie skonfigurowane połączenie VPN przy użyciu IKEv2 połączy się pomyślnie w tych samych warunkach.

kod błędu IKEv2 800

kod błędu 800 tłumaczy się na ERROR_AUTOMATIC_VPN_FAILED, co jest nieco niejednoznaczne. Opis błędu to:

nie można nawiązać połączenia VPN. Serwer VPN może być nieosiągalny lub parametry bezpieczeństwa mogą nie być poprawnie skonfigurowane dla tego połączenia.

kopanie głębiej

ślad sieciowy połączenia VPN IKEv2 ujawnia prawdziwe źródło problemu, którym jest niepowodzenie klienta i serwera w skutecznym negocjowaniu Stowarzyszenia bezpieczeństwa IKEv2 (SA). Podczas procesu inicjacji SA parametry oferowane przez Klienta są nie do przyjęcia dla serwera, co powoduje, że serwer zwraca powiadomienie NO_PROPOSAL_CHOSEN.

niestandardowe ustawienia kryptografii ignorowane

wydaje się, że połączenie zawsze włączone VPN ignoruje niestandardowe ustawienia kryptografii zdefiniowane w elemencie Cryptographysuite w ProfileXML. Dzieje się to jednak tylko wtedy, gdy NativeProtocolType jest ustawione na automatyczne. Prawdopodobnie jest to robak. 🙂

obejście

jako obejście, Ustaw NativeProtocolType na IKEv2. Gdy NativeProtocolType jest ustawione na IKEv2, połączenie VPN rozpoznaje parametry IKEv2 zdefiniowane w elemencie CryptographySuite i połączenie VPN zostanie pomyślnie nawiązane.

informacje dodatkowe

zawsze włączony VPN Konfiguracja zabezpieczeń IKEv2

zawsze włączony certyfikat VPN wymagania dla IKEv2

zawsze włączony VPN IKEv2 Load Balancer z równoważeniem obciążenia KEMP LoadMaster