| Anterior | Siguiente |
| ERROR_IPSEC_REPLAY_CHECK_FAILED | ERROR_IPSEC_INTEGRITY_CHECK_FAILED |
ERROR_IPSEC_INVALID_PACKET
Interpretación de ERROR_IPSEC_INVALID_PACKET
ERROR_IPSEC_INVALID_PACKET (13914, 0x0000365A) — El encabezado o el tráiler IPsec del paquete no es válido.
Estos resultados pertenecen a la ruta de datos IPsec, después o al margen de la negociación. SPI, SA seleccionada, sequence number e integridad del paquete son la evidencia principal.
Condición que hay que demostrar
La evidencia debe explicar exactamente «El encabezado o el tráiler IPsec del paquete no es válido» en el componente que devolvió el valor.
Qué comprobar
- Captura SPI, protocol AH/ESP, sequence number, direcciones y SA que el motor intentó seleccionar. Compara con las SA activas en el instante del drop.
- Para replay/integrity, conserva el paquete original: retransmitir o modificar la captura elimina el sequence/authenticator que permite demostrar la causa.
- Conserva como etiqueta de correlación «ipsec · invalid · packet» y la descripción exacta «El encabezado o el tráiler IPsec del paquete no es válido»; evita mezclar esta incidencia con otro código de la misma familia.
Diferencia frente a otro estado
ERROR_IPSEC_INTEGRITY_CHECK_FAILED (13915) significa «Falló la comprobación de integridad IPsec». Aquí la condición es «El encabezado o el tráiler IPsec del paquete no es válido».
Recuperación segura
Restaura la correspondencia entre paquete, policy y SA sin desactivar protección. Valida con una captura nueva que el tráfico usa la SA esperada y pasa replay/integrity checks.
Ejemplo de aislamiento
El host descarta tráfico con 13914. La captura conserva SPI/sequence y se compara con la SA efectiva; el resultado demuestra si el drop es de policy, replay, integrity o protección DoS sin desactivar IPsec.
Distinción diagnóstica específica
La condición propia de esta página es «El encabezado o el tráiler IPsec del paquete no es válido.». El estado más cercano por contenido, ERROR_IPSEC_DOSP_INVALID_PACKET, describe en cambio «La protección IPsec contra DoS recibió un paquete con formato incorrecto.». Ambos comparten IPsec, no válido, paquete, pero aquí el discriminante operativo es IPsec, no válido, paquete.
Usa como discriminante los términos «IPsec, no válido, paquete»: deben aparecer en la evidencia de la llamada que devolvió el estado, no solo en mensajes cercanos.
La validación consiste en repetir la misma operación y comprobar específicamente «IPsec, no válido, paquete»; si el nuevo resultado corresponde a ERROR_IPSEC_DOSP_INVALID_PACKET, se trata de otra hipótesis y debe diagnosticarse por separado.
Prueba discriminante del estado
El discriminante aquí es validación estructural del paquete IPsec. Captura headers AH/ESP, longitudes, SPI y parser que rechaza el paquete y conserva el paquete original; retransmitirlo o editarlo puede borrar la evidencia que diferencia esta causa.
ERROR_IPSEC_DOSP_INVALID_PACKET expresa «La protección IPsec contra DoS recibió un paquete con formato incorrecto.»; este código expresa «El encabezado o el tráiler IPsec del paquete no es válido.». Decide entre ambos verificando la condición de la SA/paquete, no aplicando una recuperación común a todos los drops IPsec.
Corrige mediante corregir el emisor/formato antes de evaluar replay o integridad. Reproduce el mismo flujo con policy equivalente y confirma que esa condición desaparece sin convertir el tráfico protegido en una excepción en claro.
Referencias técnicas
¿Buscas un código diferente? Buscar otro código de estado o error.