rasdial-fout 623: maak eerst het VPN-profiel aan

Fout 623 van rasdial is een zoekfout en geen netwerkfout: het telefoonboek bevat geen vermelding met die naam. Windows verwacht dat het profiel al bestaat voordat een opdracht het kiest, en het kiesprogramma maakt er nooit zelf een aan. Werk de controles hieronder in volgorde af, want elke controle veronderstelt dat de vorige is geslaagd.

Lees eerst de foutcode

De codes na 623 beschrijven andere storingen, dus de eerste tekst die u ziet bepaalt de vertakking. 691 is een afwijzing van inloggegevens voor een profiel dat wel bestaat, en 868 wijst meestal op naamresolutie voor het serveradres. Alleen 623 stuurt u terug naar het aanmaken, daarom verandert het herhalen van dezelfde opdracht zelden iets.

Leg de exitstatus vast in dezelfde stap die kiest. De volgende opdracht in een script overschrijft hem, en de echte code is al weg tegen de tijd dat iemand het log leest.

rasdial "Office"; if ($LASTEXITCODE -ne 0) { Write-Output "failed: $LASTEXITCODE" }

Controleer of de vermelding in het telefoonboek bestaat

Vraag Windows welke profielen er werkelijk zijn voordat u er nog een toevoegt. De cmdlet geeft de naam, het serveradres en de huidige verbindingsstatus terug, en een leeg resultaat beslecht de vraag meteen.

Windows bewaart vermeldingen per gebruiker in het ene telefoonboekbestand en die van alle gebruikers in een ander, dus één naam kan naar twee verschillende servers wijzen. Die duplicatie verklaart een script dat het verkeerde eindpunt kiest terwijl de instellingen die u bekeek volkomen correct lijken. Noem beide locaties voordat u iets over de naam concludeert.

Get-VpnConnection -Name "Office" | Format-List Name, ServerAddress, ConnectionStatus
dir "%APPDATA%\Microsoft\Network\Connections\Pbk"
dir "%PROGRAMDATA%\Microsoft\Network\Connections\Pbk"

Maak het profiel aan met Add-VpnConnection

Maak de vermelding één keer aan met de cmdlet die een eigen profiel schrijft, niet met een tekstbewerking. Geef het serveradres, het tunneltype en de verificatiemethode op die uw gateway werkelijk accepteert, want een profiel dat over het verkeerde protocol onderhandelt, mislukt later met een melding die de server de schuld geeft.

U kunt nog steeds handmatig een verbindingssectie in rasphone.pbk plakken, maar niets valideert die bewerking. Eén verkeerde sleutel levert een profiel op dat zich tegenover niets verifieert, en de fout die het oplevert lijkt op een storing op afstand en niet op een typefout.

Add-VpnConnection -Name "Office" -ServerAddress vpn.corp.internal \
  -TunnelType Ikev2 -AuthenticationMethod Eap -EncryptionLevel Required

Stem de sessie af op de opslag van inloggegevens

Een vermelding hoort bij een gebruiker of bij de machine, en het certificaat of de opgeslagen inloggegevens erachter zijn misschien alleen vanuit één aanmeldingssessie bereikbaar. Een geplande taak die als SYSTEM draait, is een andere client dan het account dat zich aanmeldde, en een service in sessie 0 heeft geen bureaublad om een prompt op te tonen. De eerste keer dat een interactieve sessie een onbekend netwerk tegenkomt, opent Windows zijn prompt voor de netwerklocatie, en het kiesprogramma biedt geen schakelaar om die stil te zetten. Sessie-isolatie vermijdt die prompt en verwijdert tegelijk de gebruikerscontext die sommige verificatiemethoden vereisen.

Kies de eigenaar bewust: een taak die bij aanmelding start voor een tunnel per gebruiker, of een service voor een tunnel voor de hele machine. De twee mengen en hetzelfde gedrag verwachten is de reden dat een verbinding die handmatig werkt onder automatisering begint te falen.

Laat de automatische trigger zoals u hem aantrof

Windows kan zelf een tunnel opzetten wanneer een toepassing of een netwerkomstandigheid overeenkomt, en een verbreking kan het profiel toevoegen aan de lijst met uitgeschakelde vermeldingen voor automatische triggers. De volgende automatische poging gebeurt dan nooit, lang nadat het verantwoordelijke script is afgelopen. Een taak die onvoorwaardelijk verbreekt, breekt daarom het altijd-aan-gedrag voor elke andere gebruiker van die machine. Dat neveneffect is onzichtbaar in het taaklog, en dat maakt het duur.

Noteer de profielstatus voordat de taak loopt, en zet die terug zoals u hem aantrof in plaats van de tunnel standaard neer te halen. De trigger weer inschakelen is een beleidswijziging, dus behandel het als een bewuste stap en niet als opruimen.

Twee grenzen overleven elke hoeveelheid scripting. rasdial kan succes melden terwijl de service achter de tunnel nog onbereikbaar is, dus test de bron die u werkelijk nodig hebt. Een profiel dat een smartcard, een push-goedkeuring of een browseraanmelding vereist, heeft geen onbeheerd pad, en een menselijke eigenaar blijft deel van het ontwerp.