Встроенный VPN в Windows не подключается: IKEv2, L2TP/IPsec и SSTP по шагам

Встроенный VPN в Windows не подключается: IKEv2, L2TP/IPsec и SSTP по шагам

«Не удалось установить соединение», «Ошибка 809», «Ошибка 720», «Сервер не отвечает» — встроенный клиент Windows редко объясняет причину. Зато протокол, который выбран в профиле, сразу сужает круг: у IKEv2, L2TP/IPsec и SSTP разные порты, разные службы и разные типы отказа.

Сначала определите протокол

Get-VpnConnection | Format-Table Name, ServerAddress, TunnelType, AuthenticationMethod, ConnectionStatus

TunnelType покажет Ikev2, L2tp или Sstp. Дальше смотрите таблицу.

Если вы в гостинице или в мобильной сети, а IKEv2 не поднимается, но SSTP по TCP 443 работает — это классическая блокировка UDP. Microsoft отдельно предупреждает: IKEv2 использует нестандартные UDP-порты, и их нужно разрешить на стороне клиента и сервера.

Шаг 1. Проверьте службы

Get-Service RasMan, IKEEXT, SstpSvc, TapiSrv | Format-Table Name, Status, StartType

• RasMan — Remote Access Connection Manager, обязательна для любого VPN;
• IKEEXT — IKE and AuthIP IPsec Keying Modules, нужна для IKEv2 и L2TP/IPsec;
• SstpSvc — SSTP;
• TapiSrv — Telephony.

Если служба остановлена:

Start-Service RasMan, IKEEXT
Set-Service RasMan -StartupType Automatic
Set-Service IKEEXT -StartupType Automatic

Частая причина «перестало работать после обновления» — отключённая или падающая IKEEXT.

Шаг 2. Проверьте доступность портов из вашей сети

С клиента проверить UDP сложно: у UDP нет рукопожатия. Практичные способы:

1. TCP 443 для SSTP — проверить можно обычным Test-NetConnection:

   Test-NetConnection vpn.company.com -Port 443
   

2. UDP 500/4500 — только косвенно: попробовать подключиться и посмотреть, уходит ли трафик. Если сеть отеля блокирует UDP, IKEv2 будет висеть на «Подключение…» и падать по таймауту.
3. Смена сети — мобильный хотспот почти всегда пропускает UDP, корпоративная гост­евая — часто нет.

Если UDP заблокирован, варианты: использовать SSTP (если сервер его поддерживает), перейти на другой тип VPN, согласованный с ИТ, или использовать разрешённый корпоративный клиент.

Шаг 3. Проверьте сертификат и имя сервера

Для IKEv2 и SSTP сервер предъявляет сертификат. Клиент проверяет:

• цепочку до доверенного корневого ЦС;
• срок действия;
• совпадение имени в сертификате с адресом, который вы ввели в профиле.

Отсюда две типичные ошибки:

• «Сертификат сервера недействителен» — на клиенте нет корневого сертификата внутреннего ЦС. Установите его в «Доверенные корневые центры сертификации» (это делает ИТ через политику).
• «Сертификат выдан другому имени» — в профиле указан IP-адрес, а сертификат выдан на DNS-имя. Используйте имя.

Проверить, что видит клиент:

Get-VpnConnection -Name "CompanyVPN" | Select-Object -ExpandProperty ServerCertificate

Шаг 4. Посмотрите журналы

Просмотр событий → «Журналы приложений и служб» → Microsoft → Windows:

• RasClient — попытки подключения и коды ошибок;
• VpnClient (для Always On VPN) — профили и туннели;
• IKEEXT — согласование IPsec.

Коды, которые встречаются чаще всего:

Шаг 5. Проверьте параметры профиля

Get-VpnConnection -Name "CompanyVPN" | Format-List *

Обратите внимание:

• AuthenticationMethod — PAP, CHAP, MSCHAPv2, Eap;
• EncryptionLevel — не должна быть NoEncryption;
• SplitTunneling — влияет на маршруты, но не на подключение;
• DnsSuffix — нужен для доступа к внутренним именам.

Для EAP-профилей (сертификат, смарт-карта) проверьте, что нужный сертификат есть и имеет приватный ключ:

Get-ChildItem Cert:\CurrentUser\My | Format-Table Subject, NotAfter, HasPrivateKey

Шаг 6. Уберите конфликты

• Два VPN-клиента одновременно. Сторонний клиент (Cisco AnyConnect, GlobalProtect) и встроенный Windows VPN могут конфликтовать маршрутами и фильтрами. Отключите один.
• Виртуальные адаптеры. Остатки Hyper-V, VMware, VirtualBox могут добавлять маршруты. Проверьте Get-NetAdapter и Get-NetRoute.
• Антивирус/файрвол. Некоторые пакеты блокируют нестандартные протоколы. Проверьте на время диагностики.
• Metro-режим/«Экономия трафика». Ограничения фоновых подключений иногда мешают автозапуску VPN.

Что делать, если ничего не помогло

1. Создайте тестовый профиль заново (иногда старый повреждён).
2. Попробуйте подключиться с другого устройства в той же сети: если тоже не работает — проблема на стороне сети или сервера.
3. Попросите у ИТ актуальные параметры: адрес, протокол, тип аутентификации, требования к сертификату.
4. Не отключайте проверку сертификата сервера «чтобы заработало»: это снижает защиту.

Ограничения

• Без доступа к логам сервера (RRAS/NPS) вы видите только половину картины.
• Провайдеры и гостиничные сети могут блокировать UDP и ESP — это не настраивается на клиенте.
• Ошибки 691 и 720 часто связаны с учётной записью, а не с сетью.
• Встроенный клиент не поддерживает часть современных протоколов (например, WireGuard) без стороннего ПО.

FAQ

Почему IKEv2 не работает в отеле, а дома работает? Гостиничные сети часто блокируют UDP 500/4500 и ESP. Используйте SSTP, если сервер его поддерживает, или мобильный хотспот.

Ошибка 809 — это всегда блокировка портов? Не всегда. Она означает «сервер не отвечает»: это может быть NAT, файрвол, неверный адрес или сервер выключен.

Нужны ли права администратора для VPN? Для установки корневого сертификата и изменения служб — да. Для создания пользовательского профиля — обычно нет.

Можно ли использовать встроенный VPN с сертификатом на смарт-карте? Да, через EAP-профиль. Смарт-карта должна быть видна системе и иметь корректный сертификат.

Поможет ли переустановка Windows? Практически никогда. Проблема в сети, портах или сертификатах.