Tu cliques sur « Connecter » et, au lieu du petit bouclier vert, Windows 11 te balance une « Erreur 691 », une « Erreur 809 » ou une « Erreur 812 ». Ton VPN ne se connecte plus, ton travail ou ton streaming est bloqué, et la connexion VPN échouée ne donne aucun détail utile.

Bonne nouvelle : ces trois codes d'erreur du VPN Windows ont chacun une cause bien précise et une solution connue. Pas besoin de réinstaller Windows. Voici 7 solutions testées, classées de la plus simple à la plus technique, pour réparer une connexion VPN impossible sur Windows 11.

Comprendre les erreurs 691, 809 et 812

Avant de toucher quoi que ce soit, lis le code qui s'affiche. Chaque erreur VPN sous Windows pointe vers un coupable différent :

  • Erreur 691 : « La connexion distante n'a pas été établie car les nom d'utilisateur et mot de passe ne sont pas reconnus » ou « accès refusé ». C'est un problème d'authentification : identifiants, méthode de vérification, ou option de domaine mal réglée.
  • Erreur 809 : « La connexion réseau entre votre ordinateur et le serveur VPN n'a pas pu être établie car le serveur distant ne répond pas ». Classique des connexions L2TP/IPsec derrière une box : un équipement réseau (pare-feu, NAT, routeur) bloque le passage.
  • Erreur 812 : « Connexion empêchée à cause d'une stratégie configurée sur le serveur RAS/VPN ». Le serveur te refuse : droits insuffisants, stratégie de réseau, ou conflit côté serveur/administrateur.

Repère ton code, puis file directement à la solution correspondante. Chaque section se termine par une action concrète à faire tout de suite.

Solution 1 : revérifier tes identifiants (erreur 691)

Ça paraît évident, mais la majorité des erreurs 691 vient d'un identifiant ou d'un mot de passe incorrect. Une majuscule activée par erreur, un mot de passe copié avec un espace invisible à la fin, un compte dont le mot de passe a expiré : ça suffit à faire échouer l'authentification VPN.

Vérifier le mot de passe pas à pas

  1. Ouvre les paramètres de ta connexion VPN : Paramètres > Réseau et Internet > VPN, sélectionne ta connexion, puis « Options avancées » ou recrée-la proprement.
  2. Retape ton identifiant et ton mot de passe à la main, sans copier-coller.
  3. Vérifie que Verr Maj (Caps Lock) n'est pas activé.
  4. Si ton fournisseur VPN a un espace client, connecte-toi sur son site : si ça marche là-bas, le problème vient de la config Windows, pas de ton compte.

Astuce : quand tu tapes le mot de passe dans la fenêtre de connexion Windows, utilise l'icône en forme d'œil pour afficher le mot de passe et repérer une faute de frappe ou un espace parasite.

Action : retape tes identifiants à la main, Vérifie Verr Maj, et teste la connexion. Si l'erreur 691 persiste, passe à la solution 2.

Solution 2 : décocher « Inclure le domaine Windows »

Une option cachée dans les propriétés de la connexion ajoute automatiquement le domaine Windows à ton identifiant. Résultat : le serveur reçoit « DOMAINE\utilisateur » au lieu de « utilisateur » et refuse la connexion. C'est une cause fréquente d'erreur 691 sur une connexion VPN mal configurée.

  1. Appuie sur Win + X puis choisis Connexions réseau (ou tape ncpa.cpl dans la recherche Windows).
  2. Clic droit sur ta connexion VPN > Propriétés.
  3. Va dans l'onglet Options.
  4. Décoche « Inclure le domaine d'ouverture de session Windows ».
  5. Clique sur OK et retente la connexion.

Action : décoche cette option dans les propriétés de ta connexion VPN et retente immédiatement.

Solution 3 : activer MS-CHAP v2

Windows 11 et ton serveur VPN doivent parler le même « langage » d'authentification. Si la méthode de vérification n'est pas alignée, la connexion VPN est refusée même avec le bon mot de passe. Pour la plupart des serveurs, la méthode à utiliser est Microsoft CHAP version 2 (MS-CHAP v2).

  1. Ouvre ncpa.cpl, clic droit sur ta connexion VPN > Propriétés.
  2. Va dans l'onglet Sécurité.
  3. Dans « Type de VPN », laisse le protocole recommandé par ton fournisseur (souvent L2TP/IPsec avec clé pré-partagée, ou IKEv2).
  4. Dans « Authentification », choisis Autoriser ces protocoles et coche Microsoft CHAP Version 2 (MS-CHAP v2).
  5. Valide avec OK et retente la connexion.

À noter : si ton fournisseur VPN utilise une clé pré-partagée (PSK) pour L2TP, elle se saisit dans l'onglet Sécurité > Paramètres avancés. Une clé PSK erronée donne aussi une connexion refusée qui ressemble à une erreur 691.

Action : active MS-CHAP v2 dans l'onglet Sécurité et vérifie la clé pré-partagée si tu es en L2TP.

Solution 4 : vérifier le type de tunnel et le protocole

Si Windows tente de se connecter en PPTP alors que ton serveur attend du L2TP/IPsec (ou l'inverse), la négociation échoue. Vérifie le type de tunnel indiqué par ton fournisseur VPN et force-le au lieu de laisser « Automatique ».

  1. Dans les propriétés de la connexion VPN, onglet Sécurité, règle « Type de VPN » sur le protocole exact de ton fournisseur : IKEv2, L2TP/IPsec ou SSTP.
  2. Évite PPTP : obsolète et souvent bloqué par les pare-feu modernes.
  3. Retente la connexion après chaque changement de protocole.

Marre de la config manuelle ? Configurer un VPN à la main dans Windows, c'est la porte ouverte aux erreurs 691, 809 et 812 : un protocole mal choisi, une case oubliée, et ça ne se connecte plus. Une application VPN comme NordVPN gère tout ça pour toi : protocole, pare-feu, reconnexion automatique. Zéro bidouille dans ncpa.cpl.

Action : force le type de VPN exact de ton fournisseur dans l'onglet Sécurité et reteste.

Solution 5 : regarder du côté du pare-feu et de l'antivirus

Un pare-feu Windows trop strict ou un antivirus tiers avec son propre pare-feu peut bloquer les ports VPN. C'est une cause classique quand le VPN ne se connecte plus du jour au lendemain après une mise à jour de l'antivirus.

Tester sans l'antivirus tiers

  1. Désactive temporairement ton antivirus tiers (ou son module pare-feu) pendant 5 minutes.
  2. Tente la connexion VPN.
  3. Si ça passe, le coupable est trouvé : ajoute ton client VPN aux exceptions de l'antivirus, ou laisse le pare-feu Windows gérer seul.
  4. Réactive ton antivirus juste après le test.

Vérifier les ports du pare-feu Windows

Selon ton protocole, ces ports doivent être ouverts en sortie : 500 et 4500/UDP (IKEv2, L2TP/IPsec), 1701/UDP (L2TP), 1723/TCP et protocole GRE (PPTP), 443/TCP (SSTP). Dans le Pare-feu Windows Defender, vérifie qu'aucune règle ne bloque ton client VPN.

Attention : ne désactive jamais durablement ton pare-feu ou ton antivirus pour « faire marcher » le VPN. C'est un test de diagnostic de quelques minutes, pas une solution. Un VPN qui exige de couper sa protection est un VPN mal configuré.

Action : fais le test de 5 minutes sans antivirus tiers, puis ajoute une exception propre si le test est concluant.

Solution 6 : corriger l'erreur 809 (NAT-T et registre)

L'erreur 809 frappe surtout les connexions L2TP/IPsec quand le PC et le serveur sont derrière un NAT (ta box, typiquement). Windows bloque par défaut l'encapsulation UDP des paquets IPsec dans ce cas. La correction officielle : ajouter une clé de registre qui autorise le NAT-Traversal.

  1. Ouvre une invite de commandes en tant qu'administrateur.
  2. Tape exactement :
    REG ADD HKLM\SYSTEM\CurrentControlSet\Services\PolicyAgent /v AssumeUDPEncapsulationContextOnSendRule /t REG_DWORD /d 0x2 /f
  3. Appuie sur Entrée, puis redémarre ton PC (obligatoire, sinon la clé ne s'applique pas).
  4. Retente la connexion VPN.

Prudence avec le registre : ne modifie que cette clé précise. En cas de doute, crée d'abord un point de restauration système (recherche Windows : « Créer un point de restauration »). Une mauvaise manip dans le registre peut empêcher Windows de démarrer.

Si l'erreur 809 persiste, réinstalle aussi les pilotes WAN Miniport : Gestionnaire de périphériques > Cartes réseau > clic droit sur chaque « WAN Miniport (IKEv2, L2TP, PPTP, SSTP) » > Désinstaller l'appareil, puis redémarre. Windows les réinstalle tout seul.

Action : ajoute la clé AssumeUDPEncapsulationContextOnSendRule, redémarre, et reteste. Pense au point de restauration avant toute modif du registre.

Solution 7 : gérer les conflits et contacter le support (erreur 812)

L'erreur 812 signifie que c'est le serveur qui te refuse : stratégie réseau, droits insuffisants, ou compte non autorisé. Avant d'écrire au support, élimine deux causes locales fréquentes.

Éliminer les conflits de clients VPN

Deux clients VPN installés (ou un ancien client mal désinstallé) peuvent se disputer les mêmes pilotes réseau et empêcher toute connexion. Désinstalle les clients VPN que tu n'utilises plus, redémarre, et reteste avec un seul client actif.

Contacter le support ou l'administrateur

Si tu utilises le VPN de ton entreprise, demande à l'administrateur réseau de vérifier tes droits et les stratégies NPS (Network Policy Server) : c'est lui qui peut t'autoriser. Si c'est un VPN commercial, ouvre un ticket chez ton fournisseur en précisant ton code d'erreur exact, ton protocole et ta version de Windows : ils connaissent les pannes récurrentes de leur service.

Action : supprime les clients VPN en doublon, puis contacte le support avec ton code d'erreur exact si le problème vient du serveur.

Récapitulatif : que faire selon ton code d'erreur

  • Erreur 691 → solutions 1, 2, 3 : identifiants, domaine Windows, MS-CHAP v2.
  • Erreur 809 → solutions 4, 5, 6 : protocole, pare-feu/antivirus, clé NAT-T dans le registre.
  • Erreur 812 → solution 7 : conflits de clients, puis support/administrateur.

Et si ton VPN se connecte mais coupe sans arrêt une fois en ligne, c'est un autre problème : lis notre guide VPN qui se déconnecte tout le temps : causes et solutions.

FAQ : les questions qu'on nous pose souvent

Pourquoi mon VPN affiche l'erreur 691 alors que mon mot de passe est correct ?

Parce que l'erreur 691 ne vient pas toujours du mot de passe lui-même : l'option « Inclure le domaine Windows » peut préfixer ton identifiant, ou la méthode d'authentification (MS-CHAP v2) n'est pas activée. Vérifie les solutions 2 et 3 avant de changer ton mot de passe.

Faut-il vraiment toucher au registre pour l'erreur 809 ?

Oui, pour les connexions L2TP/IPsec derrière une box : la clé AssumeUDPEncapsulationContextOnSendRule est la correction documentée pour autoriser le NAT-Traversal. Crée un point de restauration avant, applique la commande donnée plus haut, et redémarre ton PC.

L'erreur 812 vient-elle de mon PC ?

Non, dans la plupart des cas : l'erreur 812 indique un refus côté serveur (stratégie RAS/NPS, droits du compte). Vérifie quand même qu'aucun client VPN en doublon ne perturbe la connexion, puis contacte ton administrateur ou ton fournisseur.

Mon antivirus peut-il empêcher mon VPN de se connecter ?

Oui, surtout les suites de sécurité avec pare-feu intégré. Fais le test de 5 minutes décrit dans la solution 5 : si la connexion passe sans l'antivirus, ajoute ton client VPN à ses exceptions au lieu de le désactiver en permanence.

Dois-je réinstaller les pilotes WAN Miniport ?

Seulement si les autres solutions échouent : des miniports corrompus (IKEv2, L2TP, PPTP, SSTP) peuvent bloquer toute connexion VPN. Désinstalle-les dans le Gestionnaire de périphériques et redémarre : Windows les réinstalle automatiquement.

Que faire si aucune solution ne marche ?

Note ton code d'erreur exact, ton protocole VPN et ta version de Windows, puis contacte le support de ton fournisseur ou ton administrateur réseau. Et si tu veux éviter définitivement la config manuelle Windows, une application VPN dédiée comme NordVPN supprime toute cette complexité.