| Anterior | Siguiente |
| ERROR_IPSEC_DOSP_RECEIVED_MULTICAST | ERROR_IPSEC_DOSP_STATE_LOOKUP_FAILED |
ERROR_IPSEC_DOSP_INVALID_PACKET
Significado operativo de ERROR_IPSEC_DOSP_INVALID_PACKET
ERROR_IPSEC_DOSP_INVALID_PACKET (13927, 0x00003667) — La protección IPsec contra DoS recibió un paquete con formato incorrecto.
Estos resultados pertenecen a la ruta de datos IPsec, después o al margen de la negociación. SPI, SA seleccionada, sequence number e integridad del paquete son la evidencia principal.
Condición que hay que demostrar
La evidencia debe explicar exactamente «La protección IPsec contra DoS recibió un paquete con formato incorrecto» en el componente que devolvió el valor.
Diagnóstico recomendado
- Captura SPI, protocol AH/ESP, sequence number, direcciones y SA que el motor intentó seleccionar. Compara con las SA activas en el instante del drop.
- Para replay/integrity, conserva el paquete original: retransmitir o modificar la captura elimina el sequence/authenticator que permite demostrar la causa.
- Conserva como etiqueta de correlación «ipsec · dosp · invalid · packet» y la descripción exacta «La protección IPsec contra DoS recibió un paquete con formato incorrecto»; evita mezclar esta incidencia con otro código de la misma familia.
Estado próximo con otra causa
ERROR_IPSEC_BAD_SPI (13910) significa «El SPI del paquete no corresponde a una SA IPsec válida». Aquí la condición es «La protección IPsec contra DoS recibió un paquete con formato incorrecto».
Cómo actuar
Restaura la correspondencia entre paquete, policy y SA sin desactivar protección. Valida con una captura nueva que el tráfico usa la SA esperada y pasa replay/integrity checks.
Escenario de diagnóstico
El host descarta tráfico con 13927. La captura conserva SPI/sequence y se compara con la SA efectiva; el resultado demuestra si el drop es de policy, replay, integrity o protección DoS sin desactivar IPsec.
Distinción diagnóstica específica
La condición propia de esta página es «La protección IPsec contra DoS recibió un paquete con formato incorrecto.». El estado más cercano por contenido, ERROR_IPSEC_REPLAY_CHECK_FAILED, describe en cambio «Falló la comprobación contra repetición del número de secuencia del paquete.». Ambos comparten IPsec, pero aquí el discriminante operativo es protección DoS, no válido, paquete.
Usa como discriminante los términos «protección DoS, no válido, paquete»: deben aparecer en la evidencia de la llamada que devolvió el estado, no solo en mensajes cercanos.
La validación consiste en repetir la misma operación y comprobar específicamente «protección DoS, no válido, paquete»; si el nuevo resultado corresponde a ERROR_IPSEC_REPLAY_CHECK_FAILED, se trata de otra hipótesis y debe diagnosticarse por separado.
Prueba discriminante del estado
Este resultado pertenece específicamente a paquete inválido para DoSP. Antes de cambiar IPsec conserva header/tuple y validación exacta que falla; esa evidencia muestra si la protección está funcionando como fue diseñada.
ERROR_IPSEC_INVALID_PACKET describe «El encabezado o el tráiler IPsec del paquete no es válido.», mientras que aquí el mensaje es «La protección IPsec contra DoS recibió un paquete con formato incorrecto.». La diferencia debe verse en el estado DoSP medido, no inferirse solo porque ambos códigos aparecen durante pérdida de tráfico.
La respuesta segura es corregir el emisor/formato sin desactivar la protección. Después repite el mismo flujo y confirma que desapareció paquete inválido para DoSP; un código diferente exige una nueva hipótesis y no justifica desactivar la defensa DoS global.
Referencias técnicas
¿Buscas un código diferente? Buscar otro código de estado o error.