Autentificarea certificatului VPN Strongswan a eșuat

Am instalat strongswan vpn pe serverul meu ubuntu. Configurați autentificarea prin certificat. Mi-am configurat telefonul Android și funcționează bine. Dar conexiunea nu s-a stabilit pe mașina Windows. Am copiat ca-cert în root ca și certificatul client în magazinul personal. Dar primesc o eroare 13806 (certificat greșit). Ce fac greșit?

/etc/ipsec.conf

configurare
        # strictcrlpolicy=da
        uniceids = nr
        charondebug="ike 4"

includ /var/lib/strongswan/ipsec.conf.inc

conn %implicit
        dpdaction=clear
        dpddelay=35s
        dpdtimeout=300s

        fragmentare=da
        rekey=nu

        ike=aes256-aes128-sha256-sha1-modp3072-modp2048-modp1024

        esp=aes256-aes128-sha256-sha1-modp3072-modp2048-modp1024
        # stânga - partea locală (server).
        stânga=%oricare
        leftauth=pubkey
        leftcert=server.crt
        leftsendcert=intotdeauna
        leftsubnet=0.0.0.0/0,::/0

        # dreapta - partea de la distanță (client).
        dreapta=%oricare
        rightauth=pubkey
        rightsourceip=192.168.103.0/24,2002:25f7:7489:3::/112
        rightdns=8.8.8.8,2001:4860:4860::8888

conn ikev2-pubkey
        keyexchange=ikev2
        auto=adăugare

conn ikev2-pubkey-osx
        de asemenea = "ikev2-pubkey"
        leftid=server_adresă_ip

/etc/ipsec.secrets

: RSA server.key

server-cert

 subiect: „CN=nume_domeniu”
  emitent: „CN=IPsec CA”
  valabilitate: nu înainte de 18 apr 10:07:00 2022, ok
             nu după 02 aprilie 10:07:00 2025, ok (expiră în 1079 de zile)
  serial: a9:e3:a4:
  altNume: ip_address_server
  steaguri: serverAuth
  authkeyId: 13:f8:f0:
  subjkeyId: 5a:a8:11:
  pubkey: RSA 2048 biți, are cheie privată

client-cert

subiect: "CN=client"
  emitent: „CN=IPsec CA”
  valabilitate: nu înainte de 18 apr 10:07:19 2022, ok
             nu după 02 aprilie 10:07:19 2025, ok (expiră în 1079 de zile)
  serial: 4c:e2:46:09:81:87:14:60:96:79:cf:bb:d6:62:13:68
  altNume: client
  steaguri: clientAuth

și asta e jurnalul

09[IKE] trimiterea cererii de certificare pentru „CN=IPsec CA”
09[ENC] generează răspuns IKE_SA_INIT 0 [ SA KE Nu N(NATD_S_IP) N(NATD_D_IP) CERTREQ N(FRAG_SUP) N(CHDLESS_SUP) N(MULT_AUTH) ]
09[NET] trimite pachet: de la server_ip[500] la client_ip[500] (353 octeți)
07[NET] primit pachet: de la client_ip[500] la server_ip[500] (40 octeți)
07[ENC] tipul de sarcină utilă NOTIFY nu a fost criptat
07[ENC] nu a putut decripta încărcăturile utile
07 Verificarea integrității [IKE] a eșuat
07[IKE] Solicitarea INFORMAȚIONALĂ cu ID-ul mesajului 0 procesarea a eșuat