Erro 623 de rasdial: cree primeiro o perfil de VPN

O erro 623 de rasdial é un fallo de busca e non un fallo de rede: a libreta de teléfonos non contén ningunha entrada con ese nome. Windows espera que o perfil exista antes de que calquera orde o marque, e o marcador nunca crea un pola súa conta. Percorra as comprobacións seguintes en orde, porque cada unha dá por feito que a anterior pasou.

Lea o código de erro antes que nada

Os códigos que seguen o 623 describen outras avarías, así que o primeiro texto que vexa decide a rama. Un 691 é un rexeitamento de credenciais contra un perfil que si existe, e un 868 adoita apuntar á resolución de nomes para o enderezo do servidor. Só o 623 o devolve ao aprovisionamento, e por iso repetir a mesma orde raramente cambia nada.

Capture o estado de saída no mesmo paso que marca. A seguinte orde dun script sobrescríbeo, e o código real xa non está cando alguén le o rexistro.

rasdial "Office"; if ($LASTEXITCODE -ne 0) { Write-Output "failed: $LASTEXITCODE" }

Confirme que existe a entrada da libreta

Pregunte a Windows que perfís ten realmente antes de engadir outro. O cmdlet devolve o nome, o enderezo do servidor e o estado actual da conexión, e un resultado baleiro resolve a cuestión de inmediato.

Windows garda as entradas por usuario nun ficheiro da libreta de teléfonos e as de todos os usuarios noutro, así que un mesmo nome pode apuntar a dous servidores distintos. Esa duplicación explica un script que marca o punto final equivocado mentres a configuración que inspeccionou parece perfectamente correcta. Enumere ambas as localizacións antes de concluír nada sobre o nome.

Get-VpnConnection -Name "Office" | Format-List Name, ServerAddress, ConnectionStatus
dir "%APPDATA%\Microsoft\Network\Connections\Pbk"
dir "%PROGRAMDATA%\Microsoft\Network\Connections\Pbk"

Cree o perfil con Add-VpnConnection

Aprovisione a entrada unha soa vez co cmdlet que escribe un perfil nativo, non cunha edición de texto. Indique o enderezo do servidor, o tipo de túnel e o método de autenticación que a súa pasarela acepta de verdade, porque un perfil que negocia o protocolo equivocado falla máis tarde cunha mensaxe que culpa o servidor.

Aínda pode pegar a man unha sección de conexión en rasphone.pbk, pero nada valida esa edición. Unha clave equivocada produce un perfil que non se autentica contra nada, e o erro que xera parece unha avaría remota en lugar dunha errata.

Add-VpnConnection -Name "Office" -ServerAddress vpn.corp.internal \
  -TunnelType Ikev2 -AuthenticationMethod Eap -EncryptionLevel Required

Aliñe a sesión co almacén de credenciais

Unha entrada pertence a un usuario ou á máquina, e o certificado ou a credencial gardada que hai detrás pode que só sexa accesible desde unha sesión de inicio. Unha tarefa programada que se executa como SYSTEM é un cliente distinto da conta que iniciou sesión, e un servizo na sesión 0 non ten ningún escritorio onde mostrar un aviso. A primeira vez que unha sesión interactiva atopa unha rede descoñecida, Windows abre o seu aviso de localización de rede, e o marcador non ofrece ningún conmutador para silencialo. O illamento de sesión evita ese aviso e ao mesmo tempo elimina o contexto de usuario que algúns métodos de autenticación requiren.

Escolla o propietario a propósito: unha tarefa desencadeada polo inicio de sesión para un túnel por usuario, ou un servizo para un túnel de toda a máquina. Mesturar ambas as cousas e esperar o mesmo comportamento é como unha conexión que funciona a man comeza a fallar baixo automatización.

Deixe o activador automático como o atopou

Windows pode levantar un túnel pola súa conta cando coincide unha aplicación ou unha condición de rede, e unha desconexión pode engadir o perfil á lista de entradas desactivadas do activador automático. O seguinte intento automático entón nunca ocorre, moito despois de que o script responsable rematase. Por iso unha tarefa que desconecta sen condicións rompe o comportamento de sempre activo para todos os demais usuarios desa máquina. Ese efecto secundario é invisible no rexistro da tarefa, e iso é o que o fai caro.

Anote o estado do perfil antes de que se execute a tarefa e devólvao tal como o atopou en lugar de derrubar o túnel de forma predeterminada. Reactivar o activador é un cambio de política, así que tráteo como un paso deliberado e non como unha limpeza.

Dous límites sobreviven a calquera cantidade de scripts. rasdial pode informar de éxito mentres o servizo detrás do túnel segue inalcanzable, así que probe o recurso que realmente necesita. Un perfil que esixe unha tarxeta intelixente, unha aprobación push ou un inicio de sesión no navegador non ten ningunha ruta desatendida, e un propietario humano segue formando parte do deseño.