Add-VpnConnection: por que se rompe a PSK e por que queda o enderezo
PowerShell expande unha clave precompartida entre comiñas dobres antes de que o cmdlet a garde, e un túnel en marcha conserva o enderezo antigo ata que volves conectar.
Un perfil VPN de Windows é unha entrada dunha axenda de teléfonos, e PowerShell é unha forma de editar esa entrada. Desa distinción derivan dous fallos: unha clave precompartida que chega ao servidor xa corrupta e un enderezo de servidor que parece actualizado pero non é o que marcará o seguinte túnel. Ambos se ven máis facilmente se tratas o perfil como estado gardado e non como un comando que executaches. O percorrido segue a orde na que ocorren as edicións: crear, cambiar, ámbito, volver ler.
Crea o perfil cunha clave literal
Add-VpnConnection acepta a clave precompartida de L2TP mediante -L2tpPsk. PowerShell procesa a cadea antes de que o cmdlet a reciba, e dentro de comiñas dobres o signo de dólar inicia unha referencia a variable mentres que un acento grave inicia un escape. Unha clave que conteña calquera dos dous chega máis curta, ou cun carácter distinto, e o perfil créase correctamente co segredo equivocado.
Despois o fallo aparece na autenticación IPsec, onde o túnel se nega a erguerse. Por iso un erro de comiñas se notifica tantas veces como un problema do lado do servidor: o perfil existe, o nome é correcto e o segredo está silenciosamente mal.
| How you write it | What PowerShell does | Result |
|---|---|---|
| "p@ss$word!42" | Expands $word as a variable | Stored key is truncated |
| Double-quoted with an escape character | Consumes the next character as an escape | One character disappears |
| 'p@ss$word!42' | Keeps the literal characters | Stored key matches the secret |
As comiñas simples son a solución, e deben envolver todo o valor. Se a entrada xa existe cunha clave mala, -Force substitúea, ou elimina e volve crear o perfil e logo proba cunha conexión nova:
Add-VpnConnection -Name "Contoso-L2TP" -ServerAddress vpn.contoso.example -TunnelType L2tp -L2tpPsk 'n3w$ecret!2026' -AuthenticationMethod Pap -RememberCredential -ForceMantén o segredo real fóra do historial da consola e dos scripts compartidos. Léoo en tempo de execución desde o almacén aprobado e pasa a variable en lugar do literal, o que evita por completo o problema das comiñas.
Cambia o enderezo e logo volve conectar
Set-VpnConnection acepta parámetros separados por espazos, non sintaxe de asignación. Escribir -ServerAddress = "203.0.113.10" pasa un token extra, e o cmdlet ou dá erro ou garda algo que non pretendías. A forma correcta é -Name "Office L2TP" -ServerAddress 203.0.113.10.
Mesmo coa sintaxe correcta, o cambio non chega a un túnel xa erguido. Unha conexión establecida conserva o enderezo ao que marcou ata que se desconecta, así que probar a mesma sesión non demostra nada sobre o valor novo. Desconecta, edita, volve conectar e confirma o enderezo do par nos detalles da conexión.
Algunhas propiedades non se poden cambiar no lugar. Cando o cmdlet se nega, anota os parámetros existentes, elimina o perfil e vólveo crear cos valores corrixidos, e conserva a configuración orixinal do túnel e da autenticación. Un script que só necesita cambiar o número de teléfono pode editar a entrada da axenda mediante a API RAS en lugar de recrear todo. Escollas a ruta que escollas, confirma despois os valores gardados en vez de fiarte do silencio da orde.
Saber que axenda editaches
Un perfil por usuario vive no directorio de conexións de rede dese usuario, e un perfil para todos os usuarios vive no directorio de toda a máquina, baixo a árbore de datos de programa. Son entradas distintas con ámbitos distintos, e editar unha deixa a outra intacta.
Por iso un cambio pode parecer que desaparece: o script executouse cunha conta e a proba con outra. Usa -AllUserConnection cando o perfil pertence á máquina, e comproba o mesmo ámbito cando o volvas ler.
Volve ler o perfil antes de probar
Pregúntalle a Windows que gardou en lugar de que lle pasaches:
Get-VpnConnection -Name "Office L2TP" | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethodCompara esa saída coa intención e logo inicia unha conexión nova. Se a marcación falla, revisa o rexistro do cliente RAS no Visor de eventos antes de volver cambiar o perfil, porque o rexistro nomea a etapa que fallou.
Mantén intacto o deseño de autenticación mentres editas. Unha orde que cambia o enderezo pero descarta o certificado ou a configuración EAP produce un fallo que parece alleo á edición, e exportar o perfil que funciona antes dache algo que restaurar en lugar dunha conxectura.