Błąd 623 programu rasdial: najpierw utwórz profil VPN

Błąd 623 z rasdial to błąd wyszukiwania, a nie błąd sieci: książka telefoniczna nie zawiera wpisu o tej nazwie. Windows oczekuje, że profil będzie istniał, zanim jakiekolwiek polecenie go wybierze, a program wybierania nigdy nie tworzy go sam. Przejdź poniższe kontrole po kolei, ponieważ każda zakłada, że poprzednia się powiodła.

Najpierw przeczytaj kod błędu

Kody następujące po 623 opisują inne usterki, więc pierwszy widoczny tekst decyduje o gałęzi. 691 to odrzucenie poświadczeń dla profilu, który naprawdę istnieje, a 868 zwykle wskazuje na rozwiązywanie nazw dla adresu serwera. Tylko 623 odsyła cię do tworzenia, dlatego powtarzanie tego samego polecenia rzadko coś zmienia.

Zapisz stan wyjścia w tym samym kroku, który wybiera numer. Następne polecenie w skrypcie go nadpisze, a prawdziwy kod zniknie, zanim ktokolwiek przeczyta dziennik.

rasdial "Office"; if ($LASTEXITCODE -ne 0) { Write-Output "failed: $LASTEXITCODE" }

Potwierdź, że wpis w książce telefonicznej istnieje

Zapytaj Windows, jakie profile naprawdę istnieją, zanim dodasz kolejny. Polecenie zwraca nazwę, adres serwera i bieżący stan połączenia, a pusty wynik od razu rozstrzyga sprawę.

Windows przechowuje wpisy poszczególnych użytkowników w jednym pliku książki telefonicznej, a wpisy wszystkich użytkowników w drugim, więc jedna nazwa może wskazywać na dwa różne serwery. To powielenie wyjaśnia skrypt, który wybiera niewłaściwy punkt końcowy, podczas gdy sprawdzone ustawienia wyglądają całkowicie poprawnie. Wypisz oba miejsca, zanim wyciągniesz jakikolwiek wniosek o nazwie.

Get-VpnConnection -Name "Office" | Format-List Name, ServerAddress, ConnectionStatus
dir "%APPDATA%\Microsoft\Network\Connections\Pbk"
dir "%PROGRAMDATA%\Microsoft\Network\Connections\Pbk"

Utwórz profil za pomocą Add-VpnConnection

Utwórz wpis raz poleceniem, które zapisuje natywny profil, a nie ręczną edycją tekstu. Podaj adres serwera, typ tunelu i metodę uwierzytelniania, którą twoja brama naprawdę akceptuje, ponieważ profil negocjujący zły protokół zawodzi później z komunikatem, który obwinia serwer.

Nadal możesz ręcznie wkleić sekcję połączenia do rasphone.pbk, ale nic nie weryfikuje tej edycji. Jeden błędny klucz daje profil, który nie uwierzytelnia się względem niczego, a błąd, który produkuje, wygląda jak usterka zdalna, a nie literówka.

Add-VpnConnection -Name "Office" -ServerAddress vpn.corp.internal \
  -TunnelType Ikev2 -AuthenticationMethod Eap -EncryptionLevel Required

Dopasuj sesję do magazynu poświadczeń

Wpis należy do użytkownika albo do maszyny, a certyfikat lub zapisane poświadczenia za nim mogą być osiągalne tylko z jednej sesji logowania. Zaplanowane zadanie działające jako SYSTEM jest innym klientem niż konto, które się zalogowało, a usługa w sesji 0 nie ma pulpitu, na którym mogłaby pokazać monit. Gdy sesja interaktywna po raz pierwszy spotka nieznaną sieć, Windows otwiera monit o lokalizację sieci, a program wybierania nie oferuje przełącznika, który by go wyciszył. Izolacja sesji pozwala uniknąć tego monitu i jednocześnie usuwa kontekst użytkownika, którego wymagają niektóre metody uwierzytelniania.

Wybierz właściciela świadomie: zadanie uruchamiane przy logowaniu dla tunelu jednego użytkownika albo usługę dla tunelu całej maszyny. Mieszanie obu i oczekiwanie identycznego zachowania to powód, dla którego połączenie działające ręcznie zaczyna zawodzić pod automatyzacją.

Zostaw automatyczny wyzwalacz tak, jak go zastałeś

Windows może sam podnieść tunel, gdy dopasuje się aplikacja lub warunek sieci, a rozłączenie może dodać profil do listy wyłączonych wpisów automatycznego wyzwalacza. Następna automatyczna próba nigdy wtedy nie nastąpi, długo po zakończeniu odpowiedzialnego skryptu. Zadanie, które rozłącza bezwarunkowo, psuje więc zachowanie zawsze włączone dla każdego innego użytkownika tej maszyny. Ten efekt uboczny jest niewidoczny w dzienniku zadania i właśnie dlatego jest kosztowny.

Zanotuj stan profilu przed uruchomieniem zadania i przywróć go tak, jak go zastałeś, zamiast domyślnie burzyć tunel. Ponowne włączenie wyzwalacza jest zmianą zasad, więc traktuj to jako świadomy krok, a nie sprzątanie.

Dwie granice przetrwają każdą ilość skryptów. rasdial może zgłosić sukces, gdy usługa za tunelem jest wciąż nieosiągalna, więc przetestuj zasób, którego naprawdę potrzebujesz. Profil wymagający karty inteligentnej, zatwierdzenia push lub logowania przez przeglądarkę nie ma drogi bez nadzoru, a ludzki właściciel pozostaje częścią projektu.