Eroarea 623 rasdial: creați mai întâi profilul VPN

Eroarea 623 de la rasdial este o eroare de căutare, nu o defecțiune de rețea: cartea de telefon nu conține nicio intrare cu acel nume. Windows așteaptă ca profilul să existe înainte ca vreo comandă să îl apeleze, iar programul de apelare nu creează niciodată unul de la sine. Parcurgeți verificările de mai jos în ordine, deoarece fiecare presupune că precedenta a trecut.

Citiți codul de eroare înainte de orice altceva

Codurile care urmează după 623 descriu alte defecțiuni, așa că primul text pe care îl vedeți decide ramura. 691 este o respingere a acreditărilor pentru un profil care există într-adevăr, iar 868 indică de obicei rezolvarea numelui pentru adresa serverului. Doar 623 vă trimite înapoi la creare, de aceea repetarea aceleiași comenzi schimbă rareori ceva.

Înregistrați starea de ieșire în același pas care apelează. Următoarea comandă dintr-un script o suprascrie, iar codul real a dispărut până când cineva citește jurnalul.

rasdial "Office"; if ($LASTEXITCODE -ne 0) { Write-Output "failed: $LASTEXITCODE" }

Confirmați că intrarea din cartea de telefon există

Întrebați Windows ce profiluri are de fapt înainte de a adăuga altul. Comanda returnează numele, adresa serverului și starea actuală a conexiunii, iar un rezultat gol lămurește întrebarea imediat.

Windows păstrează intrările fiecărui utilizator într-un fișier al cărții de telefon și pe cele ale tuturor utilizatorilor în altul, așa că un singur nume poate indica două servere diferite. Această duplicare explică un script care apelează punctul final greșit în timp ce setările pe care le-ați inspectat par perfect corecte. Enumerați ambele locații înainte de a trage vreo concluzie despre nume.

Get-VpnConnection -Name "Office" | Format-List Name, ServerAddress, ConnectionStatus
dir "%APPDATA%\Microsoft\Network\Connections\Pbk"
dir "%PROGRAMDATA%\Microsoft\Network\Connections\Pbk"

Creați profilul cu Add-VpnConnection

Creați intrarea o singură dată cu comanda care scrie un profil nativ, nu printr-o editare de text. Furnizați adresa serverului, tipul de tunel și metoda de autentificare pe care gateway-ul dumneavoastră o acceptă cu adevărat, deoarece un profil care negociază protocolul greșit eșuează mai târziu cu un mesaj care dă vina pe server.

Puteți lipi în continuare manual o secțiune de conexiune în rasphone.pbk, dar nimic nu validează acea editare. O singură cheie greșită produce un profil care nu se autentifică față de nimic, iar eroarea pe care o generează pare o defecțiune la distanță, nu o greșeală de tastare.

Add-VpnConnection -Name "Office" -ServerAddress vpn.corp.internal \
  -TunnelType Ikev2 -AuthenticationMethod Eap -EncryptionLevel Required

Aliniați sesiunea la magazinul de acreditări

O intrare aparține unui utilizator sau mașinii, iar certificatul sau acreditările salvate din spatele ei pot fi accesibile doar dintr-o singură sesiune de conectare. O sarcină programată care rulează ca SYSTEM este un client diferit față de contul care s-a conectat, iar un serviciu din sesiunea 0 nu are niciun desktop pe care să afișeze o solicitare. Prima dată când o sesiune interactivă întâlnește o rețea necunoscută, Windows deschide solicitarea privind locația rețelei, iar programul de apelare nu oferă niciun comutator pentru a o reduce la tăcere. Izolarea sesiunii evită acea solicitare și, în același timp, elimină contextul de utilizator pe care îl cer unele metode de autentificare.

Alegeți proprietarul în mod deliberat: o sarcină declanșată la conectare pentru un tunel pe utilizator, sau un serviciu pentru un tunel la nivelul întregii mașini. Amestecarea celor două și așteptarea aceluiași comportament este motivul pentru care o conexiune care funcționează manual începe să eșueze sub automatizare.

Lăsați declanșatorul automat așa cum l-ați găsit

Windows poate ridica singur un tunel când o aplicație sau o condiție de rețea se potrivește, iar o deconectare poate adăuga profilul în lista intrărilor dezactivate ale declanșatorului automat. Următoarea încercare automată nu mai are loc niciodată, mult după ce scriptul responsabil s-a încheiat. O sarcină care deconectează necondiționat strică deci comportamentul mereu activ pentru toți ceilalți utilizatori ai acelei mașini. Acest efect secundar este invizibil în jurnalul sarcinii, și exact asta îl face costisitor.

Notați starea profilului înainte de rularea sarcinii și readuceți-o așa cum ați găsit-o, în loc să dărâmați tunelul implicit. Reactivarea declanșatorului este o schimbare de politică, așa că tratați-o ca pe un pas deliberat, nu ca pe o curățenie.

Două limite supraviețuiesc oricărei cantități de scripturi. rasdial poate raporta succes în timp ce serviciul din spatele tunelului este încă inaccesibil, așa că testați resursa de care aveți într-adevăr nevoie. Un profil care cere un card inteligent, o aprobare push sau o conectare prin browser nu are nicio cale nesupravegheată, iar un proprietar uman rămâne parte a proiectării.