Erro 623 do rasdial: crie primeiro o perfil de VPN

O erro 623 do rasdial é uma falha de pesquisa e não uma falha de rede: a lista telefónica não contém nenhuma entrada com esse nome. O Windows espera que o perfil já exista antes de qualquer comando o discar, e o discador nunca cria um por si próprio. Percorra as verificações abaixo por ordem, porque cada uma pressupõe que a anterior passou.

Leia o código de erro antes de tudo

Os códigos que seguem o 623 descrevem outras avarias, por isso o primeiro texto que vê decide o ramo. Um 691 é uma rejeição de credenciais contra um perfil que existe mesmo, e um 868 aponta normalmente para a resolução de nomes para o endereço do servidor. Só o 623 o devolve ao aprovisionamento, e é por isso que repetir o mesmo comando raramente muda alguma coisa.

Capture o estado de saída no mesmo passo que disca. O comando seguinte de um script substitui-o, e o código real já não existe quando alguém lê o registo.

rasdial "Office"; if ($LASTEXITCODE -ne 0) { Write-Output "failed: $LASTEXITCODE" }

Confirme que a entrada da lista telefónica existe

Pergunte ao Windows que perfis tem realmente antes de acrescentar outro. O cmdlet devolve o nome, o endereço do servidor e o estado atual da ligação, e um resultado vazio resolve a questão de imediato.

O Windows guarda as entradas por utilizador num ficheiro da lista telefónica e as de todos os utilizadores noutro, pelo que um mesmo nome pode apontar para dois servidores diferentes. Essa duplicação explica um script que disca o ponto final errado enquanto as definições que inspecionou parecem perfeitamente corretas. Enumere ambos os locais antes de concluir algo sobre o nome.

Get-VpnConnection -Name "Office" | Format-List Name, ServerAddress, ConnectionStatus
dir "%APPDATA%\Microsoft\Network\Connections\Pbk"
dir "%PROGRAMDATA%\Microsoft\Network\Connections\Pbk"

Crie o perfil com Add-VpnConnection

Aprovisione a entrada uma única vez com o cmdlet que escreve um perfil nativo, e não com uma edição de texto. Indique o endereço do servidor, o tipo de túnel e o método de autenticação que a sua gateway aceita realmente, porque um perfil que negoceia o protocolo errado falha mais tarde com uma mensagem que culpa o servidor.

Ainda pode colar à mão uma secção de ligação no rasphone.pbk, mas nada valida essa edição. Uma chave errada produz um perfil que não se autentica contra nada, e o erro que gera parece uma avaria remota em vez de um erro de escrita.

Add-VpnConnection -Name "Office" -ServerAddress vpn.corp.internal \
  -TunnelType Ikev2 -AuthenticationMethod Eap -EncryptionLevel Required

Alinhe a sessão com o arquivo de credenciais

Uma entrada pertence a um utilizador ou à máquina, e o certificado ou a credencial guardada por detrás dela pode só estar acessível a partir de uma sessão de início de sessão. Uma tarefa agendada que é executada como SYSTEM é um cliente diferente da conta que iniciou sessão, e um serviço na sessão 0 não tem nenhum ambiente de trabalho onde mostrar um pedido. Na primeira vez que uma sessão interativa encontra uma rede desconhecida, o Windows abre o pedido de localização de rede, e o discador não oferece nenhum interruptor para o silenciar. O isolamento de sessão evita esse pedido e, ao mesmo tempo, remove o contexto de utilizador que alguns métodos de autenticação exigem.

Escolha o proprietário deliberadamente: uma tarefa acionada no início de sessão para um túnel por utilizador, ou um serviço para um túnel de toda a máquina. Misturar as duas coisas e esperar o mesmo comportamento é a razão pela qual uma ligação que funciona à mão começa a falhar sob automatização.

Deixe o acionador automático como o encontrou

O Windows pode levantar um túnel por si próprio quando uma aplicação ou uma condição de rede corresponde, e uma desconexão pode acrescentar o perfil à lista de entradas desativadas do acionador automático. A tentativa automática seguinte nunca chega então a acontecer, muito depois de o script responsável ter terminado. Uma tarefa que desliga incondicionalmente quebra, por isso, o comportamento de sempre ativo para todos os outros utilizadores dessa máquina. Esse efeito secundário é invisível no registo da tarefa, e é isso que o torna caro.

Anote o estado do perfil antes de a tarefa ser executada e reponha-o como o encontrou em vez de derrubar o túnel por predefinição. Reativar o acionador é uma alteração de política, por isso trate-o como um passo deliberado e não como uma limpeza.

Dois limites sobrevivem a qualquer quantidade de scripts. o rasdial pode relatar sucesso enquanto o serviço por detrás do túnel continua inacessível, por isso teste o recurso de que realmente precisa. Um perfil que exige um cartão inteligente, uma aprovação push ou um início de sessão no navegador não tem nenhum caminho sem supervisão, e um proprietário humano continua a fazer parte do desenho.