L'errore 809 è un problema di percorso prima che di accesso

Tre condizioni decidono cosa vi sta dicendo l'errore 809: se il protocollo del profilo è quello che pensate, se il percorso lascia passare quel protocollo e se il gateway ha visto il tentativo. Finché non si risponde, l'errore è un timeout, e un timeout non è un verdetto sulle credenziali. L'ordine conta, perché cambiare per primo la condizione sbagliata distrugge la prova delle altre due.

Una porta bloccata e una password errata producono messaggi del tutto diversi, e l'errore 809 è raramente il secondo.

Confermate il protocollo usato dal profilo

Verificate il nome del server, l'indirizzo e il tipo di tunnel rispetto alle istruzioni attuali dell'operatore, poi annotate da quale trasporto dipende quel tipo. Questi tre valori vanno insieme; un nome corretto con un tipo di tunnel obsoleto fallisce come un nome errato. IKEv2 si basa su UDP 500 e 4500, e il traffico ESP nativo deve essere consentito come protocollo a sé, non come TCP o UDP. Un profilo copiato da una configurazione vecchia può indicare un tipo di tunnel che il server non offre più. Ottenete il valore dall'operatore invece di dedurlo dall'etichetta nella finestra di dialogo.

Una pagina del browser sullo stesso nome host verifica un servizio del tutto diverso. Può dimostrare che l'host è vivo e non dimostra nulla sulla negoziazione fallita.

Cambiate la rete, non le credenziali

Se la politica lo consente, provate lo stesso profilo da un'altra rete fidata, lasciando client e server invariati così che il percorso di accesso sia l'unica differenza. Un successo altrove indica un filtraggio sul percorso originale, mentre un fallimento ovunque indica l'endpoint o il profilo stesso. Chiedete all'operatore se il gateway ha visto il tentativo, perché un client senza un evento corrispondente sul server è un confine diverso da un rifiuto esplicito.

Modifiche casuali al registro e disattivare il firewall sono consigli diffusi per questo codice, e nessuno dei due deriva da una diagnosi confermata. Chiedete all'operatore qual è la correzione documentata per questa distribuzione.

Seguite il codice fino alla fase successiva

Se un tentativo successivo raggiunge l'autenticazione e produce un altro codice, seguite quella nuova fase e abbandonate la diagnosi originale di timeout. Portare un problema di percorso in un'indagine sull'account fa perdere tempo su entrambi. Annotate il protocollo, la fase fallita e se è stato eseguito il confronto di rete, così la persona successiva parte dalle prove e non dal testo della finestra.

Trattate il codice come un marcatore di fase, non come un verdetto; quella lettura è la differenza tra un controllo di cinque minuti e un pomeriggio perso.

Cosa non cambiare per primo

Credenziali, stato di blocco e archivio dei certificati meritano tutti attenzione alla fine. Nessuno è il punto in cui l'errore 809 di solito inizia, e modificarne uno per primo elimina il confronto che avrebbe trovato il percorso. Rimandate questi controlli a dopo il test di rete. Tenete fissi client, profilo e server mentre variate la rete, e prendete nota di cosa avete variato.

Se l'operatore ha cambiato recentemente l'endpoint, chiedete i dettagli attuali invece di ricostruirli a memoria. Un indirizzo che non esiste più produce esattamente questa classe di errore.

Annotate il protocollo, le reti provate e la visione del gateway. Questi tre risolvono la maggior parte delle segnalazioni 809.