Fehler 809 ist ein Pfadproblem, kein Anmeldeproblem

Drei Bedingungen entscheiden, was Ihnen Fehler 809 sagt: ob das Protokoll des Profils das ist, das Sie vermuten, ob der Pfad dieses Protokoll durchlässt und ob das Gateway den Versuch überhaupt gesehen hat. Bis diese Fragen beantwortet sind, ist der Fehler eine Zeitüberschreitung, und eine Zeitüberschreitung ist kein Urteil über die Anmeldedaten. Die Reihenfolge zählt, denn wer zuerst die falsche Bedingung ändert, zerstört den Beweis für die anderen beiden.

Ein blockierter Port und ein falsches Passwort erzeugen völlig unterschiedliche Meldungen, und 809 ist selten die zweite.

Bestätigen Sie das Protokoll des Profils

Prüfen Sie Servername, Adresse und Tunneltyp gegen die aktuellen Anweisungen des Betreibers und notieren Sie dann, von welchem Transport dieser Typ abhängt. Diese drei Werte gehören zusammen; ein richtiger Name mit veraltetem Tunneltyp scheitert genauso wie ein falscher Name. IKEv2 stützt sich auf UDP 500 und 4500, und native ESP-Daten müssen als eigenes Protokoll zugelassen werden, nicht als TCP oder UDP. Ein aus einer alten Einrichtung kopiertes Profil kann einen Tunneltyp nennen, den der Server nicht mehr anbietet. Holen Sie den Wert vom Betreiber, statt ihn aus der Bezeichnung im Dialog abzuleiten.

Eine Browserseite unter demselben Hostnamen prüft einen völlig anderen Dienst. Sie kann beweisen, dass der Host lebt, und beweist nichts über die fehlgeschlagene Aushandlung.

Wechseln Sie das Netzwerk, nicht die Anmeldedaten

Wenn die Richtlinie es erlaubt, testen Sie dasselbe Profil aus einem anderen vertrauenswürdigen Netzwerk und lassen Sie Client und Server unverändert, damit der Zugriffspfad der einzige Unterschied ist. Erfolg anderswo deutet auf Filterung auf dem ursprünglichen Pfad hin, während Misserfolg überall auf den Endpunkt oder das Profil selbst deutet. Fragen Sie den Betreiber, ob das Gateway den Versuch gesehen hat, denn ein Client ohne entsprechendes Serverereignis ist eine andere Grenze als eine ausdrückliche Ablehnung.

Zufällige Registry-Änderungen und das Abschalten der Firewall sind beliebte Ratschläge für diesen Code, und keiner davon folgt aus einer bestätigten Diagnose. Fragen Sie den Betreiber, was die dokumentierte Korrektur für diese Bereitstellung ist.

Folgen Sie dem Code zur nächsten Stufe

Wenn ein späterer Versuch die Authentifizierung erreicht und einen anderen Code erzeugt, folgen Sie dieser neuen Stufe und verwerfen Sie die ursprüngliche Zeitüberschreitungsdiagnose. Ein Pfadproblem in eine Kontoermittlung zu tragen kostet Zeit auf beiden Seiten. Notieren Sie das Protokoll, die gescheiterte Stufe und ob der Netzwerkvergleich durchgeführt wurde, damit die nächste Person mit Belegen beginnt und nicht mit dem Dialogtext.

Behandeln Sie den Code als Stufenmarkierung, nicht als Urteil; diese Lesart ist der Unterschied zwischen einer Fünf-Minuten-Prüfung und einem verlorenen Nachmittag.

Was Sie nicht zuerst ändern sollten

Anmeldedaten, Sperrstatus und Zertifikatsspeicher verdienen irgendwann alle Aufmerksamkeit. Keiner davon ist der Ort, an dem 809 normalerweise beginnt, und wer zuerst einen davon ändert, beseitigt den Vergleich, der den Pfad gefunden hätte. Sparen Sie sich diese Prüfungen für nach dem Netzwerktest. Halten Sie Client, Profil und Server fest, während Sie das Netzwerk wechseln, und notieren Sie, was Sie geändert haben.

Wenn der Betreiber den Endpunkt kürzlich geändert hat, fragen Sie nach den aktuellen Angaben, statt sie aus dem Gedächtnis zu rekonstruieren. Eine Adresse, die es nicht mehr gibt, erzeugt genau diese Fehlerklasse.

Notieren Sie das Protokoll, die getesteten Netzwerke und die Sicht des Gateways. Diese drei klären die meisten 809-Meldungen.