Error de L2TP/IPsec 789, 720 o 691: corrige primero la etapa correcta

Windows 11 informa de un número distinto para cada etapa de L2TP/IPsec, y ese número marca una etapa en lugar de puntuar el fallo. El 789 falla antes de que exista el enlace PPP, el 720 falla mientras se levanta el enlace, y el 691 falla después de que el enlace esté levantado y se rechacen las credenciales. La decisión útil no es qué corrección es más popular; es qué etapa demuestra el código que has alcanzado. Lee eso primero, y luego cambia una capa por intento para que el siguiente código todavía te diga algo.

Lee el código como una etapa, no como una lista de fallos

Una conexión L2TP cruza tres fronteras en un orden fijo. IKE negocia asociaciones de seguridad sobre UDP 500, la travesía NAT mueve ese tráfico a UDP 4500, y solo entonces el túnel L2TP transporta una sesión PPP que autentica al usuario y asigna una dirección.

Ese orden es la razón por la que un código de error cambiante es una prueba útil. Pasar de 789 a 720 significa que IPsec ya negocia y que el fallo se ha movido a la configuración del enlace. Pasar de 720 a 691 significa que el enlace se ha levantado y que la puerta de enlace ha rechazado la identidad. Si aplicas cinco correcciones a la vez, pierdes esa señal y no puedes saber qué cambio funcionó.

789: elige entre la ruta y la política local

El código 789 es un error de procesamiento durante las negociaciones de seguridad iniciales. IPsec nunca produjo una asociación utilizable, así que la cuenta aún no se ha probado. Empieza por la ruta y el secreto compartido, no por la cuenta.

Confirma que UDP 500 y UDP 4500 llegan al servidor y que la clave precompartida coincide byte a byte, incluidos mayúsculas y espacios finales. Si el servidor está detrás de NAT, Windows también puede necesitar el valor de registro documentado. Usa 1 cuando el servidor está detrás de NAT y 2 cuando lo están ambos extremos, y luego reinicia porque el agente de directivas lee el valor al arrancar:

reg add "HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent" /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 1 /f

La reparación más pesada del adaptador pertenece a la otra rama. Quitar el dispositivo Wi-Fi y los minipuertos WAN, y luego volver a escanear el hardware, se justifica cuando la propia pila IPsec local está dañada y otros tipos de VPN fallan del mismo modo. Es un esfuerzo desperdiciado cuando solo falla un servidor L2TP mientras el resto de rutas de red funciona.

720: elige entre este adaptador y el grupo de servidores

El error 720 informa de que no se pudo establecer la conexión con el equipo remoto, y aparece después de que IPsec haya tenido éxito. El túnel llegó al punto de levantar una interfaz u obtener una dirección, y luego se detuvo. Eso lo convierte en una cuestión de adaptador local o de capacidad del servidor.

Usa el radio de impacto para decidir. Que falle una máquina Windows apunta a un minipuerto WAN defectuoso, un servicio Remote Access detenido o un perfil de conexión corrupto. Que fallen varios clientes al mismo tiempo apunta al servidor: un grupo de direcciones agotado, un servicio RRAS detenido o un grupo que ya no coincide con la subred del cliente. Corrige el lado que señala el patrón antes de cambiar el otro.

En la rama de un solo cliente, quita los minipuertos WAN una vez y escanea los cambios de hardware, luego reinicia y vuelve a intentarlo. En la rama del servidor, comprueba el grupo y el estado del servicio en lugar del cliente, porque reinstalar un adaptador que funciona no puede crear una dirección que el servidor no tiene.

691: elige entre la credencial y un ayudante detenido

El código 691 es un rechazo de autenticación, y es el código que más a menudo se malinterpreta como una contraseña incorrecta. El túnel está levantado, la puerta de enlace vio una identidad y la rechazó. La causa aún puede estar fuera del campo de contraseña.

Comprueba primero el campo de dominio, luego los caracteres exactos de la contraseña. Una contraseña que contenga un espacio, una comilla o un carácter especial del intérprete puede corromperse antes de llegar al servidor; en Linux, pppd informa del mismo rechazo que E=691 para un valor sin comillas o un dominio ausente. Vuelve a escribir el secreto en lugar de pegarlo, y borra cualquier credencial guardada que pueda contener un valor antiguo.

La rama que la gente pasa por alto es un servicio auxiliar detenido. Cuando un cliente de un proveedor depende de su propio servicio para pasar credenciales a la puerta de enlace, un servicio desactivado o caído produce 691 aunque la contraseña sea correcta. Comprueba el estado del servicio del proveedor antes de restablecer la cuenta, sobre todo después de un reinicio o una actualización.

Para separar las ramas, prueba el mismo nombre de usuario contra otro perfil VPN que funcione o una cuenta de prueba RADIUS. Si eso tiene éxito, la credencial es correcta y la ruta del cliente local es sospechosa. Si falla del mismo modo, el problema es la cuenta o la política de la puerta de enlace.

Cambia una capa por intento

Trabaja de fuera hacia dentro: accesibilidad y travesía NAT, luego la clave precompartida, luego la pila del adaptador local, luego la credencial, luego el grupo de servidores y los servicios. Ese orden sigue las etapas que describen los códigos y mantiene cada resultado atribuible a un solo cambio.

Lleva un registro breve del código antes y después de cada intento, de la compilación del cliente y de si se cambió el servidor o el cliente. Una secuencia como 789, luego 720, luego 691 es un mapa de progreso; el mismo código dos veces significa que el último cambio no abordó esa etapa. Reinstalar Windows borra este mapa y rara vez corrige un fallo que vive en la puerta de enlace.

Cuando el código deje de cambiar, deja de cambiar cosas. Captura el código actual, la dirección del servidor, el método de autenticación y la hora del intento, y luego compara ese registro con un cliente que funcione. La diferencia entre los dos registros suele ser menor que la lista de correcciones que la gente prueba por defecto.