Error de VPN 10051: la ruta, no la contraseña

Un túnel de Windows falla y el registro ofrece el número 10051. Eso es WSAENETUNREACH, que se notifica cuando una operación de socket no encuentra ninguna ruta utilizable hacia el destino. No es una contraseña rechazada, un certificado caducado ni la prueba de que el servidor vio un paquete de túnel y lo rechazó.

Dos operaciones distintas pueden producirlo en una misma sesión. Significan cosas diferentes y pertenecen a dueños diferentes.

Qué informa el código y qué no

El error describe una decisión local: la pila no pudo encontrar una ruta hacia el destino solicitado, así que la operación nunca salió de la máquina. Es una afirmación sobre la ruta, no sobre la opinión del otro extremo acerca de sus credenciales. Leerlo como un fallo de autenticación le lleva a almacenes de certificados y a restablecer cuentas por un problema que no pueden causar. El código tampoco dice nada sobre si un cortafuegos más abajo habría permitido el paquete, porque no se envió ningún paquete.

Conserve las líneas de registro circundantes cuando lo anote. El número solo pierde el destino, el transporte y el momento, y esos tres hechos son lo que hace que la entrada sea interpretable una semana después.

Qué operación falló y cuándo

Un error mientras el cliente busca el extremo exterior de la VPN es un caso distinto de un fallo de aplicación después de establecerse el túnel. En el primero, la ruta de transporte hacia el servidor falta o fue retirada. En el segundo, el túnel existe y algo dentro de él no puede resolver o encaminar el destino que pidió. Mismo código, capa distinta, dueño distinto. La marca de tiempo relativa al intento de conexión suele decidir cuál tiene.

Cite la operación que falló en lugar de solo el error: conexión a qué dirección, por qué transporte y en qué punto de la secuencia. Esa formulación es la que permite a una segunda persona reproducir la decisión.

Compare el extremo y la familia de direcciones

Anote el destino resuelto, el transporte y el puerto. Si el nombre devuelve tanto una dirección IPv4 como una IPv6, una comprobación IPv4 que funciona no explica nada sobre un intento IPv6 fallido. Puede que el cliente esté probando la familia que nunca probó, y forzar la otra familia cambia el experimento en lugar de corregirlo.

Resolve-DnsName vpn.example.net -Type A,AAAA
Find-NetRoute -RemoteIPAddress 198.51.100.62
Get-NetConnectionProfile

La consulta de ruta devuelve la mejor dirección local y la ruta para ese destino en el estado actual, así que ejecútela mientras el fallo esté presente. Un adaptador desconectado, una red cambiada o una ruta inesperada se ven distintos después de reiniciarlo todo. Un segundo túnel activo también puede capturar la ruta del extremo, lo que produce este código para un cliente y no para el otro.

Recuerde qué es una respuesta de ruta: una decisión local, no un permiso para enviar. No puede decirle si un cortafuegos aceptaría el datagrama ni si algo escucha en el extremo lejano.

Otros errores de socket y el traspaso

El error 10054 es un informe distinto y, en una recepción UDP, puede mostrar un ICMP de puerto inalcanzable asociado a un envío anterior. Es un mensaje sobre un puerto de destino concreto, no una afirmación de que no exista ninguna ruta, y ambos llevan a investigaciones diferentes. Tratar cada número de socket como una variación de conexión fallida es como se 'repara' una ruta ausente reinstalando un cliente.

El traspaso útil contiene el código exacto, la operación fallida, el extremo y la familia de direcciones, la ruta seleccionada y la hora de cualquier cambio de red. Corrija el problema de ruta demostrado a través de quien posea esa configuración. Sustituir certificados o desactivar la verificación del otro extremo no pueden proporcionar una ruta que no existe, y ambas cosas dificultan el diagnóstico final.