¿La VPN no conecta? Causas, códigos de error y soluciones

Pulsas Conectar en tu app de VPN y el círculo no deja de girar, hasta que se rinde con un mensaje como «No se pudo conectar» o Windows muestra una ventana con un número como 809 o 691. Ayer funcionaba en casa y hoy falla en el Wi-Fi del hotel, o es el portátil del trabajo y necesitas la red de la empresa dentro de diez minutos.

Este artículo trata de un túnel VPN que nunca llega a levantarse. Repasamos las comprobaciones rápidas, los pasos que da una VPN mientras se conecta, los protocolos de las apps, la red en la que estás, los ajustes del teléfono, los códigos de error de Windows con el significado que da Microsoft a cada uno, los firewalls, los routers y el lado del servidor. Si tu app dice Conectado pero las páginas no cargan, consulta en su lugar ¿VPN conectada pero sin internet? Causas y soluciones.

¿Qué significa «la VPN no conecta»?#

Una VPN (red privada virtual) mete el tráfico de tu dispositivo en un túnel cifrado que termina en un servidor VPN, como se explica en ¿Qué es una VPN y cómo funciona?. «No conecta» significa que el túnel nunca se construye: la app se queda en «Conectando» o muestra un error, mientras tu conexión normal a internet sigue funcionando.

El fallo suele tener una de dos formas. Una espera larga que termina con el tiempo de espera agotado significa que el servidor nunca te oyó. Un rechazo rápido que habla de tu contraseña, tu cuenta o un certificado significa que el servidor te oyó y dijo que no.

¿Cómo se conecta una VPN, paso a paso?#

1. La app busca la dirección del servidor. Un nombre como vpn.example.com se convierte en una dirección IP mediante el DNS, la libreta de direcciones de internet. Si no se encuentra el nombre, Windows muestra el error 868.
2. Los primeros paquetes viajan hasta el servidor a través de tu Wi-Fi, tu router, tu proveedor de internet y cualquier firewall que haya por el camino. Si uno de ellos descarta los paquetes, la app agota el tiempo de espera; Windows muestra 809.
3. Los dos lados se comprueban mutuamente con un certificado (un documento de identidad digital) o una clave precompartida (una contraseña común para la conexión). Un certificado solo es válido entre dos fechas, así que un reloj del dispositivo mal puesto puede hacer fallar este paso. En las conexiones L2TP, Windows informa de este paso como 789.
4. Inicias sesión. Una contraseña incorrecta o una cuenta caducada detiene la conexión; en Windows es el 691.
5. El servidor revisa sus reglas, por ejemplo qué métodos de inicio de sesión acepta. Si no coinciden, aparece el 812.
6. El túnel se abre y la app muestra Conectado. En Windows aparece un escudo azul en la barra de tareas.

Comprobaciones rápidas antes de nada#

1. Apaga la VPN y abre un sitio web. Si no carga nada, el problema es tu conexión a internet, no la VPN.
2. Revisa la cuenta. En la web del proveedor, confirma que la suscripción está activa y que no has llegado al límite de dispositivos. En una VPN del trabajo, comprueba que tu contraseña del trabajo no ha caducado.
3. Pon la fecha y la hora en automático. Windows: Configuración > Hora e idioma > Fecha y hora > Ajustar hora automáticamente. iPhone: Ajustes > General > Fecha y hora > Ajuste automático. Android: app Reloj, Ajustes > Cambiar fecha y hora > Fecha y hora automáticas.
4. Actualiza la app, reinicia el dispositivo y elige otro servidor.
5. Prueba otra red. Conecta el portátil al hotspot de tu teléfono o cambia el teléfono de Wi-Fi a datos móviles.

La última comprobación divide el problema en dos. Si la VPN conecta en la otra red, tu dispositivo y tu cuenta están bien y la causa es la primera red.

Causas habituales de un vistazo#

VPN en apps: qué significa el ajuste de protocolo#

Las apps de los proveedores suelen tener una opción Protocolo o Tipo de VPN. Lo que importa es el tráfico que usa cada uno:

• WireGuard, un protocolo más reciente y ligero, envía todos sus paquetes por UDP, el tipo de tráfico que no espera una confirmación (consulta TCP y UDP: ¿en qué se diferencian?).
• OpenVPN, un protocolo de código abierto muy extendido, funciona por UDP o por TCP según cómo lo configure el proveedor.
• IKEv2/IPsec viene integrado en Windows, iPhone y Mac, lleva bien el cambio entre Wi-Fi y datos móviles y necesita que pasen los puertos UDP 500 y 4500.

Una red que deja pasar páginas web pero no UDP, o no esos puertos, deja funcionar el navegador y detiene la VPN. Si tu app ofrece más de un protocolo, cambiar una vez es una prueba razonable en casa o en la red de un hotel; si uno conecta y el otro no, díselo al proveedor. Hay dos causas más en la propia app: una segunda app de VPN abierta al mismo tiempo (cierra una) y una instalación dañada (desinstala, reinicia y vuelve a instalar desde la tienda oficial).

¿La red está bloqueando la VPN?#

Wi-Fi de hoteles, cafeterías y aeropuertos. Muchas redes públicas muestran primero una página de inicio de sesión, un portal cautivo, donde aceptas unas condiciones o escribes un número de habitación. Hasta que la completas, la red bloquea todo lo demás, incluida la VPN. Apaga la VPN, abre cualquier sitio web para que aparezca la página, complétala y luego conecta. Hay más sobre estas redes en ¿Es seguro el Wi-Fi público?.

Redes del trabajo y de centros educativos. Muchas organizaciones no permiten conexiones VPN en su red, para que ese tráfico pase por sus propios controles de seguridad. Si la VPN falla solo allí, es la regla funcionando; pregunta al administrador en lugar de intentar saltártela.

Países. Algunos países y redes restringen las VPN; este artículo no trata esa situación. Si usar una VPN es legal donde estás se explica en ¿Es legal usar una VPN o un proxy?.

iPhone y Android: causas propias del teléfono#

iPhone. Los servicios de VPN suelen venir como app, mientras que las VPN del trabajo y de los centros educativos a menudo llegan como un perfil de configuración que aparece en Ajustes > General > VPN y gestión de dispositivos. Un perfil VPN que quedó de un trabajo o una app antiguos puede estorbar; elimina solo los que sepas que ya no necesitas, y nunca el de tu empresa sin preguntar. El último recurso es Ajustes > General > Transferir o restablecer el iPhone > Restablecer > Restablecer ajustes de red. La guía de restablecimiento de Apple dice que elimina las redes guardadas y los ajustes VPN no instalados por un perfil de configuración o un gestor de dispositivos móviles, así que tendrás que volver a configurar el Wi-Fi y la app de VPN.

Android. Las VPN están en Ajustes > Redes e Internet > VPN (busca «VPN» si el fabricante de tu teléfono lo llama de otra forma). Una VPN añadida ahí a mano tiene un interruptor VPN siempre activada detrás de su icono de ajustes. La página de ayuda de Android sobre VPN de Google indica que las VPN configuradas a través de una app no tienen esta opción ahí, así que búscala en los ajustes de la propia app. El ahorro de batería es el otro sospechoso habitual: Ajustes > Batería > Ahorro de batería limita la actividad en segundo plano, y Google advierte que las conexiones de red pueden sufrir retrasos. Si la VPN se corta con la pantalla apagada, prueba una vez con Ahorro de batería desactivado.

Códigos de error de la VPN integrada de Windows#

El cliente VPN propio de Windows, en Configuración > Red e Internet > VPN, muestra un error numerado cuando falla; muchas VPN del trabajo lo usan. Los significados vienen de la lista de códigos de error de enrutamiento y acceso remoto de Microsoft; los consejos para 800, 809 y 812 siguen su guía para solucionar problemas de Always On VPN.

Para cambiar estos ajustes, abre Configuración > Red e Internet > VPN, selecciona la conexión y después Opciones avanzadas y Editar, como muestra la página de ayuda de Microsoft sobre VPN en Windows. Con Automático, Windows prueba varios tipos de túnel y muestra 800 cuando fallan todos. Si aparece 868 con un nombre que antes funcionaba, puede que el servidor DNS de la red tenga la culpa; ¿Qué es el DNS y cómo cambiar tu servidor DNS? explica cómo cambiarlo. Los clientes de empresa como FortiClient, GlobalProtect y Cisco Secure Client muestran sus propios mensajes, pero los pasos son los mismos.

Firewall, antivirus y router#

Programas de seguridad. Después de una actualización, el firewall de un paquete de seguridad puede empezar a bloquear una app de VPN que antes permitía. Pausa el firewall un minuto, intenta conectar y vuelve a activarlo enseguida. Si la VPN conecta mientras está en pausa, añade la app de VPN como excepción en lugar de dejar la protección apagada. En un equipo del trabajo, deja esto en manos de TI.

VPN passthrough. El router de tu casa da a todos los dispositivos una única dirección pública compartida reescribiendo la dirección de cada paquete, una técnica llamada NAT. Los tipos de VPN más antiguos, PPTP y L2TP/IPsec, envían tráfico que el router tiene que reconocer antes de poder dejarlo pasar; la función del router para esto suele llamarse VPN Passthrough y a menudo viene activada de fábrica. Si Windows muestra 809 u 800 solo en casa, abre la página de ajustes del router (la dirección suele estar en una etiqueta del propio router), comprueba que el passthrough de VPN o de IPsec está activado y reinicia el router. WireGuard y OpenVPN normalmente no lo necesitan.

Un servidor VPN en tu propia casa. Si llegas a tu casa a través de una VPN en tu propio router, puede que haya cambiado la dirección pública de tu conexión, como explica IP estática y dinámica: diferencias y cuál necesitas. Si tu proveedor pone tu línea detrás de CGNAT, las conexiones desde fuera no pueden llegar a tu casa en absoluto; Qué es CGNAT, cómo saber si lo tienes y cómo salir explica cómo comprobarlo.

Cuando el problema está en el servidor#

Si la VPN falla en todas las redes y dispositivos mientras otros servidores funcionan, o el proveedor informa de una caída, el fallo no está de tu lado. Elige otra ubicación, cierra sesión y vuelve a entrar y después contacta con soporte. Una VPN de empresa también puede fallar por motivos que no ves, como un certificado del servidor caducado o una regla de inicio de sesión cambiada; el 812 es uno de ellos. No instales una segunda VPN para saltártelo. Envía a soporte o a TI el mensaje o el código exacto (mejor una captura de pantalla), la hora, la red en la que estabas, si la prueba con el hotspot también falla y la versión de la app.

¿Cuándo es mejor herramienta un proxy?#

Una VPN cambia la ruta de todo el dispositivo. Si solo quieres que un navegador o un programa use una dirección de otro país, por ejemplo para comprobar cómo muestra los precios tu propia tienda online en otro mercado, un proxy cambia la ruta solo de ese programa. Los Proxies residenciales te dan direcciones de conexiones domésticas en el país y la ciudad que elijas, y los Proxies SOCKS5 funcionan en cualquier programa con un campo SOCKS5. La comparación está en Proxy o VPN: diferencias y cuándo usar cada uno. Un proxy no sustituye a la VPN de tu empresa ni cifra tu tráfico en un Wi-Fi público; para esos trabajos, arregla la VPN.

Nivel avanzado: comprueba si se puede llegar al servidor VPN#

Esta sección es para quienes se manejan con la línea de comandos. Windows PowerShell puede comprobar si un servidor responde en un puerto; sustituye example.com por la dirección de tu servidor VPN y 443 por el puerto que usa tu proveedor o tu equipo de TI:

Test-NetConnection example.com -Port 443

Cuando se puede llegar al servidor, la salida (aquí abreviada) se ve así:

ComputerName     : example.com
RemoteAddress    : 104.20.23.154
RemotePort       : 443
TcpTestSucceeded : True

Un aviso que dice Name resolution of … failed corresponde al error 868. TcpTestSucceeded : False significa que nada respondió en ese puerto, como con el 809. True significa que se puede llegar al servidor, así que revisa los datos de inicio de sesión y el protocolo. La prueba solo cubre TCP; para WireGuard e IKEv2, que usan UDP, confía en la prueba con el hotspot.

Errores frecuentes#

• Reinstalarlo todo antes de la prueba con el hotspot. Dos minutos en otra red muestran si el dispositivo es siquiera el problema.
• Escribir la contraseña una y otra vez. Muchos servicios bloquean una cuenta tras varios intentos fallidos.
• Dejar el tipo de VPN en Automático cuando sabes qué tipo usar.
• Pausar el firewall y olvidarlo. Añade una excepción para la app de VPN.
• Intentar saltarse las reglas de la red del trabajo o del centro educativo. En su red, decide su política.

Guía de decisión#

Preguntas frecuentes#

¿Por qué mi VPN conecta con datos móviles pero no con Wi-Fi?#

Algo en esa red Wi-Fi descarta el tráfico VPN: una página de inicio de sesión sin completar, un ajuste del router o una regla de la red. Tu dispositivo y tu cuenta están bien. En casa, revisa el router; en otros sitios, pregunta a quien gestiona la red.

¿Que la VPN no conecte significa que está bloqueada?#

No necesariamente. Las cuentas caducadas, los relojes mal puestos, los servidores saturados y los firewalls locales causan muchos fallos. Si la VPN falla solo en una red, esa red la rechaza; si falla en todas partes, revisa el dispositivo, la cuenta o el proveedor.

¿Qué es el error 809 y cómo se soluciona?#

El servidor VPN no respondió, y Microsoft dice que puede que un firewall, un dispositivo NAT o un router intermedio no permita conexiones VPN. Prueba primero otra red; si funciona, revisa el VPN passthrough del router y tu firewall. Con una VPN del trabajo, avisa a TI, porque puede que el lado del servidor necesite abiertos los puertos UDP 500 y 4500.

¿Por qué la VPN dice que mi contraseña es incorrecta si está bien?#

Revisa Bloq Mayús, el idioma del teclado y el formato del nombre de usuario; algunas VPN del trabajo esperan dominio\usuario. Algunos proveedores dan credenciales VPN aparte en la página de tu cuenta. Una cuenta caducada o bloqueada da el mismo error, el 691 en Windows.

¿Restablecer los ajustes de red del iPhone borra mi VPN?#

En parte. Apple dice que elimina los ajustes VPN que no se instalaron mediante un perfil de configuración o un gestor de dispositivos, así que abre después la app de VPN para volver a configurarla. Las VPN del trabajo instaladas mediante un perfil se mantienen.

¿Debo cambiar el protocolo de la VPN si no conecta?#

En casa o en la red de un hotel, probar una vez el otro protocolo de la app es una prueba razonable, porque algunas redes dejan pasar un tipo de tráfico y otro no. En una red del trabajo o de un centro educativo, sigue las reglas del administrador.

En resumen#

Una VPN que no conecta se detiene en uno de unos pocos pasos: el nombre del servidor, el camino de red, la comprobación de identidad, el inicio de sesión o las reglas del servidor. Revisa internet sin la VPN, la cuenta, la fecha y la hora, la app y el servidor, y después haz la prueba con el hotspot para distinguir el dispositivo de la red. El Wi-Fi del hotel necesita primero su página de inicio de sesión; las redes del trabajo y de los centros educativos siguen sus propias reglas. En Windows, 868 apunta al nombre, 809 y 800 al camino, 789 a la comprobación de seguridad, 691 a la contraseña y 812 a una regla del servidor. Si lo único que necesitas es una dirección de otro país en un programa, un proxy es la herramienta más sencilla; las opciones están en nuestra página de proxies.