Por qué Android se conecta a la VPN IPsec de casa y Windows no

El teléfono se une a la VPN del router sin quejarse, mientras que el portátil en la misma Wi-Fi no puede. Las mismas credenciales, el mismo servidor, el mismo minuto. La diferencia es el soporte de protocolo, no la contraseña: el router expone un perfil que un sistema operativo implementa y otro nunca tuvo.

Identifique primero el perfil y luego compárelo con lo que cada cliente habla en realidad.

Un menú, tres protocolos

Bajo un solo encabezado IPsec, el firmware de consumo puede esconder tres túneles muy distintos. El primero es IKEv1 con XAUTH: un secreto de grupo compartido y, encima, un nombre de usuario y una contraseña. El segundo es L2TP/IPsec, donde PPP corre dentro de un transporte IPsec protegido por una clave compartida. El tercero es IKEv2, autenticado con certificados o EAP.

Lea los campos, no la etiqueta. Un secreto de grupo con una lista de usuarios significa IKEv1 XAUTH. Una clave precompartida con una cuenta PPP significa L2TP/IPsec. Un certificado de servidor sin secreto de grupo significa IKEv2.

La brecha de soporte entre teléfono y portátil

Android lleva un cliente IKEv1 XAUTH PSK integrado, y por eso el teléfono triunfa frente a un router que no ofrece nada más. Windows no: su cliente nativo maneja L2TP/IPsec e IKEv2, y no hay opción IKEv1 XAUTH que activar. Volver a introducir el secreto no ayuda, porque la pieza que falta es el protocolo y no la credencial.

El lado de Apple es un blanco móvil. Las versiones recientes de macOS e iOS van hacia IKEv2, algunos perfiles antiguos estilo Cisco sobreviven en ciertas compilaciones, y una actualización puede retirar o endurecer lo que funcionaba el mes pasado. Un Mac que ayer conectaba y hoy no, sin cambios en el router, suele ser esto.

Dos ajustes que rompen perfiles por lo demás correctos

La página L2TP/IPsec de Synology ofrece una casilla llamada Enable SHA2-256 compatible mode (96 bit). Los clientes de Apple desde iOS 14 y macOS Big Sur rechazan ese modo truncado, así que la casilla debe estar desmarcada para ellos. Si se deja marcada, el túnel autentica y luego cae, lo que parece credenciales malas y no lo es. El fabricante documenta el interruptor, y una actualización del sistema operativo es el momento habitual en que esto empieza a importar.

Windows guarda los certificados en dos almacenes separados, e IKEv2 solo lee el de la máquina. Importe el certificado de cliente con su clave privada en la cuenta de equipo; un certificado guardado en su cuenta de usuario aparece en la consola de administración y nunca llega al servicio IKEv2. EAP-TLS es el único caso en que un certificado de usuario es utilizable, y la CA firmante aún debe ser de confianza para la máquina. Equivocarse aquí se ve como un fallo de autenticación, no como una petición de certificado ausente.

Cuando el router se queda como está

Un router que solo habla XAUTH PSK deja tres caminos: el cliente del fabricante, un cliente de terceros que todavía implementa el perfil, o mover el extremo del túnel a algo que hable IKEv2. AVM, por ejemplo, publica software de cliente para Windows y un archivo de configuración exportado para sus routers. Esa vía está soportada, y significa instalar una herramienta del fabricante en cada portátil.

El soporte importa más que la elegancia cuando los portátiles no son suyos para reconstruirlos.

Pese también el coste de seguridad. Un solo secreto de grupo cubre a todos los usuarios, así que quien lo tenga puede hacerse pasar por el servidor y capturar el nombre de usuario y la contraseña que ofrece el cliente. Donde IKEv2 con certificados esté disponible, esa migración vale más que cualquier solución alternativa en el cliente.

Diagnostique de fuera hacia dentro

Consiga primero una sesión funcional desde el teléfono, para que el lado del servidor quede probado antes de que el portátil entre en escena. Después importe el perfil exportado del router sin cambios y lea el registro del cliente en lugar de la página de estado del router. Si el registro no muestra ninguna propuesta saliente, el portátil nunca llegó al respondedor. Si las propuestas se intercambian y luego fallan, el desacuerdo es sobre algoritmos, identidad o credenciales.

Mantenga el perfil del teléfono que funciona como control. Cuando solo el portátil se rompe tras una actualización de firmware, el lado del servidor se comporta como antes. Cuando se rompen ambos, mire el certificado o el escucha antes de tocar cualquier cliente.