Грешка 623 на rasdial: първо създайте профила за VPN

Грешка 623 от rasdial е неуспех при търсене, а не мрежов неуспех: телефонният указател не съдържа запис с това име. Windows очаква профилът да съществува, преди която и да е команда да го набере, а набиращият никога не създава такъв сам. Изпълнете проверките по-долу по ред, защото всяка предполага, че предходната е минала успешно.

Прочетете кода на грешката преди всичко останало

Кодовете след 623 описват различни повреди, затова първият текст, който видите, определя клона. 691 е отказ на идентификационни данни за профил, който наистина съществува, а 868 обикновено сочи към разрешаване на името на адреса на сървъра. Само 623 ви връща към създаването на профила, поради което повторението на същата команда рядко променя нещо.

Записвайте кода на изхода в самата стъпка, която набира. Следващата команда в скрипта го презаписва и истинският код е изчезнал, докато някой прочете журнала.

rasdial "Office"; if ($LASTEXITCODE -ne 0) { Write-Output "failed: $LASTEXITCODE" }

Потвърдете, че записът в указателя съществува

Попитайте Windows какви профили наистина има, преди да добавите още един. Командата връща името, адреса на сървъра и текущото състояние на връзката, а празният резултат веднага решава въпроса.

Windows пази записите за отделния потребител в един файл на указателя, а записите за всички потребители — в друг, затова едно име може да сочи към два различни сървъра. Това дублиране обяснява скрипт, който набира грешната крайна точка, докато проверените от вас настройки изглеждат напълно правилни. Избройте и двете места, преди да направите извод за името.

Get-VpnConnection -Name "Office" | Format-List Name, ServerAddress, ConnectionStatus
dir "%APPDATA%\Microsoft\Network\Connections\Pbk"
dir "%PROGRAMDATA%\Microsoft\Network\Connections\Pbk"

Създайте профила с Add-VpnConnection

Създайте записа веднъж с командата, която записва собствен профил, а не с текстово редактиране. Подайте адреса на сървъра, типа на тунела и метода за удостоверяване, който вашият шлюз действително приема, защото профил, който договаря грешен протокол, по-късно се проваля със съобщение, което обвинява сървъра.

Все още можете да поставите раздел за връзка в rasphone.pbk на ръка, но нищо не проверява тази редакция. Един грешен ключ дава профил, който не се удостоверява пред нищо, а грешката, която произвежда, изглежда като отдалечена повреда, а не като печатна грешка.

Add-VpnConnection -Name "Office" -ServerAddress vpn.corp.internal \
  -TunnelType Ikev2 -AuthenticationMethod Eap -EncryptionLevel Required

Съгласувайте сесията с хранилището на идентификационни данни

Записът принадлежи на потребител или на машината и сертификатът или запазените идентификационни данни зад него може да са достъпни само от една сесия за вход. Планирана задача, която работи като SYSTEM, е различен клиент от акаунта, който се е вписал, а услуга в сесия 0 няма работен плот, на който да покаже подкана. Първият път, когато интерактивна сесия срещне непозната мрежа, Windows отваря подканата за местоположение на мрежата, а набиращият не предлага ключ, за да я заглуши. Изолацията на сесията избягва тази подкана и едновременно премахва потребителския контекст, който изискват някои методи за удостоверяване.

Избирайте собственика съзнателно: задача, задействана при вход, за тунел на отделен потребител, или услуга за тунел за цялата машина. Смесването на двете и очакването на еднакво поведение е начинът, по който връзка, която работи на ръка, започва да се проваля под автоматизация.

Оставете автоматичното задействане както сте го намерили

Windows може сам да вдигне тунел, когато приложение или условие на мрежата съвпадне, а прекъсването може да добави профила към списъка с изключени записи за автоматично задействане. Следващият автоматичен опит тогава така и не се случва, дълго след като отговорният скрипт е приключил. Затова задача, която прекъсва безусловно, чупи поведението на постоянна връзка за всеки друг потребител на тази машина. Този страничен ефект е невидим в журнала на задачата и точно това го прави скъп.

Отбележете състоянието на профила преди стартирането на задачата и го върнете така, както сте го намерили, вместо да събаряте тунела по подразбиране. Повторното включване на задействането е промяна в политиката, затова го третирайте като съзнателна стъпка, а не като почистване.

Две граници оцеляват при всякакво количество скриптове. rasdial може да съобщи за успех, докато услугата зад тунела все още е недостъпна, затова тествайте ресурса, който наистина ви е нужен. Профил, който изисква смарт карта, push одобрение или вход през браузър, няма път без надзор и жив собственик остава част от дизайна.