Un rasphone.pbk copiado borró las demás VPN de todo el sistema

La nueva VPN apareció, la autenticación funcionó, y una VPN de terceros que llevaba dos años en la máquina desapareció en el mismo reinicio. Nada en el registro del despliegue lo mencionó, porque nada en el despliegue se ocupaba de ello. El paquete había reemplazado la libreta de teléfonos global, y la otra conexión era una entrada de ese archivo. Esto es una operación de copia comportándose exactamente como debe comportarse una operación de copia.

La solución no es una copia mejor. Es no copiar el archivo.

Qué contiene realmente la libreta de teléfonos

Una libreta de teléfonos es un contenedor de definiciones de conexión, no un perfil. Las entradas por usuario viven en el perfil del usuario, y las entradas para todos los usuarios viven en la ruta ProgramData de ámbito de máquina, por eso un despliegue que escribe ese archivo toca a todos los usuarios locales a la vez. El mismo archivo también lleva entradas creadas por otros proveedores, y de ahí viene el daño colateral.

Una definición de conexión tampoco es toda la historia. Las rutas, la política de DNS, el material de CA de confianza y la identidad los aprovisionan propietarios separados.

Averigüe qué ámbito posee el perfil

Enumere ambos ámbitos antes de escribir nada. Get-VpnConnection devuelve las entradas del usuario actual y Get-VpnConnection -AllUserConnection devuelve las de ámbito de máquina, y el mismo nombre puede existir en ambos con ajustes distintos. Decida qué ámbito posee su despliegue y anótelo, porque actualizar el ámbito equivocado deja al usuario conectándose por el perfil antiguo mientras su cambio queda en un archivo que nadie lee. Una tarea programada que se ejecuta como SYSTEM también ve un conjunto de perfiles distinto del usuario que ha iniciado sesión.

Nombrar al propietario es el paso que impide que el siguiente ingeniero repita la copia del archivo completo.

Cree o actualice la conexión con nombre, nada más

Para un perfil nativo de Windows, Add-VpnConnection crea una entrada, y -AllUserConnection elige el ámbito de máquina. Ejecútelo primero con -WhatIf, para que la previsualización llegue a su transcripción y no a una queja de usuario:

Add-VpnConnection -Name 'Office VPN' -ServerAddress 'vpn.example.com' -TunnelType Ikev2 -AuthenticationMethod Eap -EapConfigXmlStream $approvedEapXml -AllUserConnection -WhatIf

El XML de EAP tiene que venir de algún sitio legítimo: exportado de un perfil de referencia que funcione, o generado por sus herramientas de gestión para la pasarela real. Sin los ajustes correctos de confianza del servidor, el perfil o se conecta a lo equivocado o falla en todas partes, y ninguna de las dos es un despliegue exitoso.

Cuando la entrada ya existe, compare sus ajustes y actualícela con Set-VpnConnection en lugar de borrarla y volver a crearla. Borrar es como una configuración que funciona pierde campos que nadie documentó, y como entradas no relacionadas quedan atrapadas en una limpieza amplia.

Compruebe si hay un segundo sistema de gestión que devolverá el perfil antiguo en la próxima actualización de directiva. Los pilotos fallan aquí más a menudo que en el cmdlet.

Haga la prueba en una máquina que ya tenga otra VPN

Elija una máquina de prueba con una entrada no relacionada de ámbito de máquina, despliegue, y luego verifique tres cosas: el perfil nuevo aparece en el ámbito previsto, la autenticación llega a un recurso privado, y la entrada no relacionada sigue conectando. Despliegue dos veces más y confirme que la segunda ejecución solo cambia el perfil que posee. Esa tercera comprobación atrapa un paquete que es idempotente para su propia entrada y destructivo para todo lo demás.

La retirada sigue la misma regla: Remove-VpnConnection -Name 'Office VPN' -AllUserConnection retira una entrada y deja el resto del archivo en paz.

Mantenga disponible la configuración prevista anterior, para que una reversión acotada signifique reimportar un perfil en lugar de restaurar todo el estado de la máquina.