¿Secreto compartido o inicio de sesión de usuario: qué campo de L2TP/IPsec falló?
Una clave precompartida demuestra el par, mientras que el usuario y la contraseña de PPP demuestran a la persona. El código de error dice cuál de las dos capas se rompió.
Una oficina puede repartir el mismo secreto IPsec a todos los portátiles mientras cada persona inicia sesión con una cuenta individual, y por eso «la clave es correcta» y «la contraseña es correcta» pueden ser ciertas a la vez y el inicio de sesión aun así fallar. L2TP e IPsec autentican partes distintas en etapas distintas. La comparación de las dos capas, y el código de error que las separa, cierran la mayoría de estos tickets más rápido que volver a intercambiar ambos valores. Las etapas no son intercambiables, y el mensaje que tiene delante ya dice cuál está en juego.
Dos capas, dos identidades distintas
Primero se ejecuta la autenticación del par de IPsec. El cliente y la puerta de enlace demuestran mutuamente quiénes son, con una clave precompartida o un certificado, antes de que se proteja cualquier carga del túnel. El intercambio PPP dentro de la sesión L2TP va después, y ahí es donde su nombre de usuario y su contraseña se comprueban contra el almacén de cuentas del servidor.
Las etapas son independientes, así que una cuenta de usuario válida no puede rescatar una clave IPsec incorrecta, y una clave correcta no puede rescatar una contraseña caducada. Escriba las dos por separado en el ticket y el diagnóstico suele caer de la primera línea de registro que nombra una etapa.
| Observed failure | Stage that rejected it | Field to touch |
|---|---|---|
| Security layer error 789 during initial negotiation | IKE and IPsec peer authentication | The pre-shared key or the certificate |
| Error 691, credentials not recognised | PPP user authentication | User name, password, or account policy |
| Tunnel forms, then drops on the first packet | Neither, usually routing or MTU | Address pool and interface configuration |
| Prompt repeats with no error text | Often the client type selection | The connection profile, not the secret |
El secreto compartido demuestra el par
Una clave precompartida es una credencial de grupo que tienen la puerta de enlace y cada cliente que se conecta a ella. Establece que el par conoce la clave, y de ella IKE deriva las claves que protegen la conexión. Nada en ese intercambio identifica a la persona frente al teclado. Esa es la razón de que exista un segundo inicio de sesión, a nivel de usuario, dentro del mismo túnel.
Ese diseño tiene una consecuencia práctica para la revocación. Perder un portátil significa rotar el secreto para cada dispositivo que lo usa, salvo que el despliegue pase a certificados, donde se puede retirar un solo dispositivo sin tocar el resto. El intercambio es esfuerzo administrativo frente al alcance del daño.
Una clave escrita en un perfil es también la credencial más fácil de filtrar mediante capturas de pantalla y chats. Trátela como material de infraestructura compartido y no como una contraseña personal, porque es exactamente eso.
El inicio de sesión pertenece a PPP
Dentro de la sesión L2TP, PPP negocia la autenticación y pide al servidor que verifique el par de valores que escribió. En Windows son el mismo nombre de usuario y contraseña que pide el perfil, y en un enrutador es lo que referencia el perfil PPP. Se comprueba contra el almacén de cuentas, no contra la clave. Dos personas pueden compartir un portátil y una clave y aun así distinguirse en esta etapa.
Como es autenticación de usuario, se aplican todas las políticas habituales de cuenta: contraseña caducada, cuenta bloqueada, permiso de marcado o un nombre que deba llevar dominio. El error 691 informa esa combinación como rechazada, así que lea el registro de contabilidad del servidor antes de volver a escribir nada.
Deje que el error elija el campo
El error 789 nombra la capa de seguridad y apunta a la etapa IPsec. Confirme que la clave precompartida de ambos lados coincide exactamente, que la identidad del par que espera la puerta de enlace coincide con lo que envía el cliente, y que el cliente está configurado para L2TP/IPsec y no para otro tipo.
El error 691 nombra credenciales y apunta a PPP. Compruebe el estado de la cuenta y el formato exacto del nombre antes de cambiar el secreto, porque cambiar ambos a la vez destruye la evidencia que estaba leyendo.
Cuando el túnel se levanta y el tráfico sigue deteniéndose, deje por completo de editar los campos de autenticación. Mire el grupo de direcciones, la ruta de vuelta a la subred del cliente y la MTU: la comparación de las dos capas solo ayuda mientras el fallo siga dentro de ellas.