Error 623 de rasdial: primer creeu el perfil de VPN

L'error 623 de rasdial és una fallada de cerca, no una fallada de xarxa: la llibreta de telèfons no conté cap entrada amb aquest nom. Windows espera que el perfil existeixi abans que cap ordre el marqui, i el marcador mai no en crea cap pel seu compte. Recorreu les comprovacions següents en ordre, perquè cadascuna assumeix que l'anterior ha passat.

Llegiu el codi d'error abans que res

Els codis que segueixen el 623 descriuen altres avaries, així que el primer text que veieu decideix la branca. Un 691 és un rebuig de credencials contra un perfil que sí que existeix, i un 868 apunta normalment a la resolució de noms per a l'adreça del servidor. Només el 623 us retorna a la provisió, i per això repetir la mateixa ordre poques vegades canvia res.

Captureu l'estat de sortida en el mateix pas que marca. La següent ordre d'un script el sobreescriu, i el codi real ja no hi és quan algú llegeix el registre.

rasdial "Office"; if ($LASTEXITCODE -ne 0) { Write-Output "failed: $LASTEXITCODE" }

Confirmeu que l'entrada de la llibreta existeix

Pregunteu a Windows quins perfils té realment abans d'afegir-ne un altre. El cmdlet retorna el nom, l'adreça del servidor i l'estat actual de la connexió, i un resultat buit resol la qüestió de seguida.

Windows desa les entrades per usuari en un fitxer de llibreta de telèfons i les de tots els usuaris en un altre, així que un mateix nom pot apuntar a dos servidors diferents. Aquesta duplicació explica un script que marca el punt final equivocat mentre la configuració que heu inspeccionat sembla del tot correcta. Llisteu tots dos llocs abans de concloure res sobre el nom.

Get-VpnConnection -Name "Office" | Format-List Name, ServerAddress, ConnectionStatus
dir "%APPDATA%\Microsoft\Network\Connections\Pbk"
dir "%PROGRAMDATA%\Microsoft\Network\Connections\Pbk"

Creeu el perfil amb Add-VpnConnection

Proveïu l'entrada una vegada amb el cmdlet que escriu un perfil natiu, no amb una edició de text. Indiqueu l'adreça del servidor, el tipus de túnel i el mètode d'autenticació que la vostra passarel·la accepta de debò, perquè un perfil que negocia el protocol equivocat falla més tard amb un missatge que culpa el servidor.

Encara podeu enganxar a mà una secció de connexió dins de rasphone.pbk, però res no valida aquesta edició. Una clau equivocada produeix un perfil que no s'autentica contra res, i l'error que genera sembla una avaria remota en lloc d'una errata.

Add-VpnConnection -Name "Office" -ServerAddress vpn.corp.internal \
  -TunnelType Ikev2 -AuthenticationMethod Eap -EncryptionLevel Required

Alineeu la sessió amb el magatzem de credencials

Una entrada pertany a un usuari o a la màquina, i el certificat o la credencial desada que hi ha al darrere potser només és abastable des d'una sessió d'inici. Una tasca programada que s'executa com a SYSTEM és un client diferent del compte que ha iniciat sessió, i un servei a la sessió 0 no té cap escriptori on mostrar un avís. El primer cop que una sessió interactiva troba una xarxa desconeguda, Windows obre l'avís d'ubicació de xarxa, i el marcador no ofereix cap commutador per silenciar-lo. L'aïllament de sessió evita aquest avís i alhora elimina el context d'usuari que alguns mètodes d'autenticació requereixen.

Trieu el propietari deliberadament: una tasca desencadenada per l'inici per a un túnel per usuari, o un servei per a un túnel de tota la màquina. Barrejar les dues coses i esperar el mateix comportament és com una connexió que funciona a mà comença a fallar sota automatització.

Deixeu el disparador automàtic tal com el vau trobar

Windows pot aixecar un túnel pel seu compte quan una aplicació o una condició de xarxa coincideixen, i una desconnexió pot afegir el perfil a la llista d'entrades desactivades del disparador automàtic. La següent temptativa automàtica aleshores no arriba mai a produir-se, molt després que hagi acabat l'script responsable. Per tant, una tasca que desconnecta incondicionalment trenca el comportament de sempre actiu per a tots els altres usuaris d'aquella màquina. Aquest efecte secundari és invisible al registre de la tasca, i això és el que el fa car.

Anoteu l'estat del perfil abans que s'executi la tasca i torneu-lo a deixar com el vau trobar en lloc d'enderrocar el túnel per defecte. Reactivar el disparador és un canvi de política, així que tracteu-ho com un pas deliberat i no com a neteja.

Dos límits sobreviuen a qualsevol quantitat de scripts. rasdial pot informar d'èxit mentre el servei darrere del túnel encara és inabastable, així que proveu el recurs que realment necessiteu. Un perfil que exigeix una targeta intel·ligent, una aprovació push o un inici de sessió al navegador no té cap camí desatès, i un propietari humà continua formant part del disseny.