Ошибка 809 — это проблема маршрута, а не входа

Три условия определяют, что вам говорит ошибка 809: совпадает ли протокол профиля с тем, что вы думаете, пропускает ли маршрут этот протокол и видел ли шлюз попытку вообще. Пока на эти вопросы нет ответа, ошибка — это тайм-аут, а тайм-аут не приговор учётным данным. Порядок важен: смена не того условия первой уничтожает доказательства для двух других.

Заблокированный порт и неверный пароль дают совершенно разные сообщения, и 809 редко бывает вторым.

Подтвердите протокол, который использует профиль

Проверьте имя сервера, адрес и тип туннеля по текущим инструкциям оператора, затем отметьте, от какого транспорта зависит этот тип. Эти три значения связаны; правильное имя с устаревшим типом туннеля падает так же, как неверное имя. IKEv2 опирается на UDP 500 и 4500, а собственный трафик ESP нужно разрешать как отдельный протокол, а не как TCP или UDP. Профиль, скопированный из старой конфигурации, может указывать тип туннеля, который сервер больше не предлагает. Возьмите значение у оператора, а не выводите его из подписи в диалоге.

Страница браузера на том же имени хоста проверяет совершенно другую службу. Она может доказать, что хост жив, и ничего не доказывает о неудачных переговорах.

Смените сеть, а не учётные данные

Если политика позволяет, проверьте тот же профиль из другой доверенной сети, оставив клиент и сервер неизменными, чтобы единственным отличием был путь доступа. Успех в другом месте указывает на фильтрацию на исходном пути, а отказ везде — на конечную точку или сам профиль. Спросите оператора, видел ли шлюз попытку, потому что клиент без соответствующего события на сервере — это другая граница, чем явный отказ.

Случайные правки реестра и отключение брандмауэра — популярный совет для этого кода, и ни один из них не следует из подтверждённого диагноза. Спросите оператора, каково документированное исправление для этого развёртывания.

Проследите код до следующего этапа

Если более поздняя попытка доходит до аутентификации и даёт другой код, следуйте этому новому этапу и отбросьте исходный диагноз тайм-аута. Перенос проблемы маршрута в расследование учётной записи тратит время на обоих. Запишите протокол, этап, на котором произошёл сбой, и проводилось ли сравнение сетей, чтобы следующий человек начинал с доказательств, а не с текста диалога.

Относитесь к коду как к маркеру этапа, а не как к приговору; такое чтение — разница между пятиминутной проверкой и потерянным днём.

Что не стоит менять первым

Учётные данные, состояние блокировки и хранилище сертификатов в конечном счёте все заслуживают внимания. Ни одно из них не является местом, где 809 обычно начинается, а смена одного первым убирает сравнение, которое нашло бы путь. Отложите эти проверки до после теста сети. Держите клиент, профиль и сервер неподвижными, пока меняете сеть, и записывайте, что именно меняли.

Если оператор недавно сменил конечную точку, запросите актуальные данные вместо того, чтобы восстанавливать их по памяти. Адрес, которого больше нет, даёт именно этот класс сбоя.

Запишите протокол, проверенные сети и взгляд шлюза. Эти три решают большинство сообщений о 809.