Erreur 868 avec une adresse IP ? Ce que Windows résout d’abord
La boîte de dialogue signale un échec de résolution alors que le profil semble numérique. Lisez le vrai champ du profil, puis séparez un problème de nom d’un ancien bug de reconnexion.
La boîte de dialogue indique que le nom du serveur n’a pas pu être résolu, et le champ du profil que vous fixez est une adresse. Cette combinaison n’est pas une contradiction : le client résout autre chose que la valeur que vous croyez qu’il lit. Déterminez ce qu’il compose réellement avant de conclure que le DNS est cassé. L’ordre des étapes propres au client vous dit où chercher.
Le client résout un nom avant de composer
Une connexion VPN native de Windows lit son profil, résout l’adresse du serveur, démarre le tunnel et ne s’authentifie qu’ensuite. L’erreur 868 appartient à la deuxième étape. Comme les étapes suivantes ne s’exécutent jamais, la boîte de dialogue peut ressembler à un problème d’identifiants alors que la résolution a échoué en premier.
Cet ordre est utile, car il restreint la couche à inspecter. Quand le même profil fonctionne depuis un réseau et échoue depuis un autre, la différence tient généralement à la résolution de noms, pas au type de tunnel ni au compte. Testez la résolution là où l’échec se produit, pas là où le profil a été créé.
Quel nom, quand le champ affiche une adresse
Lisez la valeur stockée plutôt que le nom affiché. L’étiquette d’une connexion n’est pas son adresse de serveur, et deux entrées aux étiquettes proches vous envoient après la mauvaise :
Get-VpnConnection -Name "Work VPN" |
Select-Object Name, ServerAddress, TunnelTypeSi le profil est provisionné pour tous les utilisateurs, interrogez aussi cette portée avec -AllUserConnection. Résolvez ensuite exactement la valeur imprimée par la commande, depuis le réseau où l’échec se produit. Utilisez la passerelle documentée de l’opérateur, pas le nom d’application interne qui ne se résout qu’une fois le tunnel monté. Cette seconde requête échoue pour une raison attendue et ne vous dit rien sur la composition :
Resolve-DnsName vpn.example.comQuand la valeur stockée est réellement numérique, cherchez un second endroit où le client lit un nom. Une configuration EAP peut référencer un serveur, un profil importé d’un autre outil peut porter sa propre valeur, et un programme d’installation antérieur peut laisser une entrée en double. Le champ de la boîte de dialogue n’est pas toujours la seule entrée.
Le schéma de reconnexion de Windows 7
Le fil derrière cette erreur décrit des machines qui se sont connectées une fois puis ont échoué lors d’une tentative ultérieure avec 868, sans que rien n’ait changé dans le profil. Des contributeurs ont rapporté que redémarrer le service Remote Access Connection Manager ou se déconnecter puis se reconnecter rétablissait temporairement la connexion. Ce sont des contournements, pas une cause racine démontrée.
Traitez ce schéma comme une hypothèse distincte. Un redémarrage réinitialise l’état du client, donc un succès temporaire ensuite ne prouve pas que l’enregistrement DNS était faux :
| Observation | Points toward | What to do next |
|---|---|---|
| Fails from one network, works from another | Name resolution on that path | Resolve the stored name from both networks |
| Fails after a disconnect, works after service restart | Client state, not DNS | Record the sequence for the vendor |
| Fails only on a newly provisioned machine | Profile content or scope | Compare ServerAddress and TunnelType |
Lisez le tableau comme un ensemble d’observations discriminantes, non comme un diagnostic. La première ligne est un problème de nom, la deuxième l’état du client, et la troisième un profil qui n’a jamais été correct. Chacune mène à une personne différente et à un correctif différent.
Ce qu’il faut recueillir pour l’administrateur
Notez le nom du profil, l’adresse stockée, le type de tunnel, le réseau sur lequel était le client et si l’échec a suivi une déconnexion. Ce relevé sépare un véritable échec de résolution du comportement historique de reconnexion sans que personne ait à deviner. Conservez aussi le journal des événements du client autour de la tentative.
Le contournement des anciennes versions prouve que le comportement existait, il ne promet pas que le même redémarrage du service réparera une machine actuelle. Remplacer un nom d’hôte documenté par une adresse littérale n’est pas non plus une réparation.
Certains profils attendent une identité de serveur conforme au nom configuré, si bien qu’un contournement numérique peut échanger une erreur contre une autre. Si le nom doit rester, corrigez le chemin de résolution plutôt que le texte du profil. Dans tous les cas, notez ce que vous avez changé et pourquoi.