Erreur 623 de rasdial : créez d’abord le profil VPN

L’erreur 623 de rasdial est un échec de recherche et non une panne réseau : l’annuaire téléphonique ne contient aucune entrée portant ce nom. Windows s’attend à ce que le profil existe avant qu’une commande ne le compose, et le composeur n’en crée jamais de lui-même. Déroulez les vérifications ci-dessous dans l’ordre, car chacune suppose que la précédente a réussi.

Lisez le code d’erreur avant tout le reste

Les codes qui suivent 623 décrivent d’autres défauts, donc le premier texte que vous voyez décide de la branche. Un 691 est un refus d’identifiants pour un profil qui existe bel et bien, et un 868 pointe généralement vers la résolution de noms pour l’adresse du serveur. Seul 623 vous renvoie vers la création, c’est pourquoi répéter la même commande change rarement quoi que ce soit.

Capturez le code de sortie dans l’étape même qui compose. La commande suivante d’un script l’écrase, et le vrai code a disparu avant que quiconque lise le journal.

rasdial "Office"; if ($LASTEXITCODE -ne 0) { Write-Output "failed: $LASTEXITCODE" }

Confirmez que l’entrée de l’annuaire existe

Demandez à Windows quels profils il possède réellement avant d’en ajouter un autre. L’applet de commande renvoie le nom, l’adresse du serveur et l’état actuel de la connexion, et un résultat vide tranche la question aussitôt.

Windows conserve les entrées par utilisateur dans un fichier d’annuaire et celles de tous les utilisateurs dans un autre, si bien qu’un même nom peut désigner deux serveurs différents. Ce doublon explique un script qui compose le mauvais point de terminaison alors que les paramètres que vous avez inspectés semblent parfaitement corrects. Listez les deux emplacements avant de conclure quoi que ce soit sur le nom.

Get-VpnConnection -Name "Office" | Format-List Name, ServerAddress, ConnectionStatus
dir "%APPDATA%\Microsoft\Network\Connections\Pbk"
dir "%PROGRAMDATA%\Microsoft\Network\Connections\Pbk"

Créez le profil avec Add-VpnConnection

Provisionnez l’entrée une seule fois avec l’applet de commande qui écrit un profil natif, et non par une édition de texte. Indiquez l’adresse du serveur, le type de tunnel et la méthode d’authentification que votre passerelle accepte réellement, car un profil qui négocie le mauvais protocole échoue plus tard avec un message qui accuse le serveur.

Vous pouvez toujours coller à la main une section de connexion dans rasphone.pbk, mais rien ne valide cette modification. Une clé erronée donne un profil qui ne s’authentifie auprès de rien, et l’erreur produite ressemble à une panne distante plutôt qu’à une coquille.

Add-VpnConnection -Name "Office" -ServerAddress vpn.corp.internal \
  -TunnelType Ikev2 -AuthenticationMethod Eap -EncryptionLevel Required

Alignez la session sur le magasin d’identifiants

Une entrée appartient à un utilisateur ou à la machine, et le certificat ou l’identifiant enregistré derrière elle n’est peut-être accessible que depuis une seule session d’ouverture. Une tâche planifiée qui s’exécute en tant que SYSTEM est un client différent du compte qui s’est connecté, et un service en session 0 n’a aucun bureau sur lequel afficher une invite. La première fois qu’une session interactive rencontre un réseau inconnu, Windows ouvre son invite d’emplacement réseau, et le composeur n’offre aucun commutateur pour la réduire au silence. L’isolation de session évite cette invite et retire en même temps le contexte utilisateur que certaines méthodes d’authentification exigent.

Choisissez le propriétaire délibérément : une tâche déclenchée à l’ouverture de session pour un tunnel par utilisateur, ou un service pour un tunnel à l’échelle de la machine. Mélanger les deux et attendre le même comportement, c’est ainsi qu’une connexion qui fonctionne à la main se met à échouer sous automatisation.

Laissez le déclencheur automatique comme vous l’avez trouvé

Windows peut lever un tunnel de lui-même lorsqu’une application ou une condition réseau correspond, et une déconnexion peut ajouter le profil à la liste des entrées de déclenchement automatique désactivées. La tentative automatique suivante n’a alors jamais lieu, longtemps après la sortie du script responsable. Une tâche qui se déconnecte sans condition casse donc le comportement permanent pour tous les autres utilisateurs de cette machine. Cet effet de bord est invisible dans le journal de la tâche, et c’est ce qui le rend coûteux.

Notez l’état du profil avant l’exécution de la tâche et remettez-le comme vous l’avez trouvé au lieu d’abattre le tunnel par défaut. Réactiver le déclencheur est un changement de stratégie, alors traitez-le comme une étape délibérée et non comme un nettoyage.

Deux limites survivent à toute quantité de scripts. rasdial peut signaler un succès alors que le service derrière le tunnel reste injoignable, alors testez la ressource dont vous avez réellement besoin. Un profil qui exige une carte à puce, une approbation push ou une connexion par navigateur n’a aucun chemin sans surveillance, et un propriétaire humain reste partie intégrante de la conception.