always On VPN IKEv2 Connection Failure cod de eroare 800

always On VPN administratorii pot întâlni un scenariu în care clienții Windows 10 nu pot stabili o conexiune VPN IKEv2 la un server Windows Server Routing and Remote Access Service (RRAS) sau la un dispozitiv VPN terț în următoarele condiții.

1. conexiunea VPN este configurată folosind ProfileXML.
2. ProfileXML include elementul <CryptographySuite>.
3. serverul VPN este configurat să utilizeze o politică IPsec personalizată.
4. serverul VPN acceptă numai IKEv2.
5. < NativeProtocolType> în ProfileXML este setat la Automat.

când aceste condiții specifice sunt îndeplinite, clientul nu se va putea conecta la serverul VPN folosind IKEv2. Mesajul de eroare afirmă:

conexiunea la distanță nu a fost făcută deoarece tunelurile VPN încercate au eșuat. Serverul VPN ar putea fi inaccesibil. Dacă această conexiune încearcă să utilizeze un tunel L2TP / IPsec, parametrii de securitate necesari pentru negocierea IPsec ar putea să nu fie configurați corect.

în plus, Jurnalul de evenimente va include un mesaj de eroare de la sursa RasClient cu event ID 20227 care include următorul mesaj de eroare.

utilizatorul a format o conexiune numită care a eșuat. Codul de eroare returnat la eșec este 800.

o conexiune VPN configurată manual folosind IKEv2 se va conecta cu succes în aceleași condiții.

Codul De Eroare IKEv2 800

Codul De Eroare 800 se traduce prin ERROR_AUTOMATIC_VPN_FAILED, ceea ce este oarecum ambiguu. Descrierea erorii este:

imposibil de stabilit conexiunea VPN. Serverul VPN poate fi inaccesibil sau parametrii de securitate pot să nu fie configurați corect pentru această conexiune.

săpat mai adânc

o urmă de rețea a conexiunii VPN IKEv2 dezvăluie adevărata sursă a problemei, care este un eșec al clientului și serverului de a negocia cu succes o asociație de securitate IKEv2 (sa). În timpul procesului de inițiere SA, parametrii oferiți de client sunt inacceptabili pentru server, rezultând o notificare NO_PROPOSAL_CHOSEN returnată de server.

setările de criptografie personalizate ignorate

se pare că conexiunea VPN always on ignoră setările de criptografie personalizate definite în elementul CryptographySuite din ProfileXML. Cu toate acestea, acest lucru se întâmplă numai atunci când NativeProtocolType este setat la Automat. Probabil, acesta este un bug.

soluție

ca soluție, setați NativeProtocolType la IKEv2. Când NativeProtocolType este setat la IKEv2, conexiunea VPN recunoaște parametrii IKEv2 definiți în elementul CryptographySuite și conexiunea VPN va fi stabilită cu succes.

informații suplimentare

always On VPN IKEv2 Security Configuration

Always On VPN Certificate Requirements for IKEv2

Always On VPN IKEv2 Load Balancing with KEMP LoadMaster Load Balancer