Valor del registro NAT-T de Windows: primero la topología

Una conexión VPN de Windows falla, una búsqueda devuelve un valor del registro y el valor se introduce junto con un reinicio. Esa secuencia a veces funciona y nunca explica nada. El ajuste en cuestión responde a una pregunta sobre dónde está el servidor respecto a un dispositivo NAT, y no tiene sentido hasta que sabes qué protocolo falló y en qué etapa.

Qué selecciona realmente el valor

AssumeUDPEncapsulationContextOnSendRule determina si una implementación de IPsec de Windows intentará asociaciones con un par detrás de un dispositivo NAT. El valor predeterminado documentado 0 no permite ese caso, 1 lo permite cuando el servidor es el lado detrás del NAT y 2 cubre la traducción de ambos extremos. Son afirmaciones de topología sobre quién está dónde.

Leídos como una secuencia, los números describen cada vez más traducción, no cada vez más fiabilidad. Poner 2 en una red donde no se traduce nada no hace que la conexión sea más rápida ni más estable, y no repara un fallo de autenticación. La guía de NAT de Microsoft para L2TP/IPsec documenta la directiva y su contexto histórico de plataforma. Contrasta ese contexto con la versión y el rol de Windows que ejecutas realmente, porque un documento que ha sobrevivido a varias versiones no es una afirmación sobre cada compilación actual.

Ajusta la topología antes que el número

Dibuja la ruta y marca los puntos de traducción: ¿el cliente está detrás de un router doméstico, el servidor detrás de un balanceador de carga o un cortafuegos que reescribe direcciones, y alguno de los extremos está detrás de una traducción del operador que no controlas? Solo después de ese dibujo puedes decidir si el valor se aplica y a qué extremo.

La afirmación de que las versiones actuales de Windows Server simplemente se entregan con el recorrido NAT desactivado es demasiado amplia para actuar sobre ella. Lo que importa es la directiva de tu sistema, la topología frente a él y el intercambio que falló, en ese orden. Si ambos extremos tienen direcciones públicas, el ajuste no es tu problema. Mira la propuesta, el certificado o la cuenta y deja el registro en paz.

Comprueba primero la etapa del fallo

L2TP/IPsec produce al menos tres fallos distintos: el par no es accesible, la protección IPsec no se puede establecer y la autenticación de usuario PPP se rechaza después de que exista el túnel. Una cuenta rechazada no se repara cambiando la directiva NAT, y una discrepancia de propuestas no se repara reiniciando.

Get-VpnConnection -Name "Corp L2TP" | Format-List Name, ServerAddress, TunnelType, EncryptionLevel
Get-WinEvent -LogName System -MaxEvents 40 | Where-Object Id -in 20227,20226,20274
netsh interface ipv4 show interfaces

Un tiempo de espera sin respondedor sugiere accesibilidad o filtrado más que directiva. Un rechazo rápido con un mensaje de propuesta apunta a los algoritmos. Un fallo después de que el túnel esté levantado pertenece a la etapa de autenticación, que es otro propietario y otra solución.

SSTP sobre HTTPS e IKEv2 nativo tienen sus propios registros y sus propios controles. Nada de eso se convierte en un caso de recorrido NAT solo porque también se ejecute en Windows.

Haz el cambio con una vía de vuelta

Si la directiva documentada y la topología observada lo exigen ambas, anota el valor anterior, aplica el cambio mediante la configuración administrada y no mediante un script por perfil, y planifica el reinicio. En un servidor que admite otras cargas de trabajo, esto no es una edición inocua.

El dispositivo NAT todavía tiene que transportar el tráfico encapsulado y el tráfico de retorno. Un valor del registro no crea ninguna regla de reenvío, no alinea ninguna propuesta y no valida ninguna identidad, así que una conexión que empieza a funcionar después del cambio puede estar funcionando por un motivo completamente distinto. Vuelve a probar el protocolo original con la topología original y luego anota qué etapa falló y por qué se esperaba que el valor lo resolviera. Esa frase es lo que convierte un rumor de internet en una configuración que puedes defender.