Add-VpnConnection：PSK 为何被破坏，地址为何不更新
PowerShell 会在 cmdlet 保存双引号中的预共享密钥之前先展开它，而正在运行的隧道会一直保留旧地址，直到你重新连接。
Windows 的 VPN 配置文件是电话簿里的一条记录，PowerShell 只是编辑这条记录的一种方式。正是这个区别带来两类故障：预共享密钥还没到服务器就已经损坏，以及服务器地址看起来更新了、实际却不是下一次拨号使用的那个。把配置文件当作已保存的状态而不是你执行过的一条命令，两者都更容易看清。下面的顺序与修改发生的顺序一致：创建、修改、作用范围、回读。
用字面量密钥创建配置文件
Add-VpnConnection 接收 L2TP 预共享密钥，密钥通过 -L2tpPsk 传入。PowerShell 在 cmdlet 收到字符串之前就完成了处理，双引号内的美元符号会开始变量引用，反引号则开始转义。含有其中任一字符的密钥会变短，或变成另一个字符，而配置文件仍会带着错误的密钥成功创建。
故障随后出现在 IPsec 身份验证阶段，隧道无法建立。这就是引号错误常被当成服务器端问题的原因：配置文件存在、名称正确，秘密却悄悄错了。
| How you write it | What PowerShell does | Result |
|---|---|---|
| "p@ss$word!42" | Expands $word as a variable | Stored key is truncated |
| Double-quoted with an escape character | Consumes the next character as an escape | One character disappears |
| 'p@ss$word!42' | Keeps the literal characters | Stored key matches the secret |
单引号就是解决办法，而且必须包住整个值。如果记录已存在但密钥有误，-Force 会替换它；或者删除并重建配置文件，再用新连接测试：
Add-VpnConnection -Name "Contoso-L2TP" -ServerAddress vpn.contoso.example -TunnelType L2tp -L2tpPsk 'n3w$ecret!2026' -AuthenticationMethod Pap -RememberCredential -Force把真正的密钥留在 shell 历史和共享脚本之外。运行时从受批准的存储读取，并传递变量而不是字面量，这样就从根上避开了引号问题。
改地址，然后重新连接
Set-VpnConnection 接受以空格分隔的参数，而不是赋值语法。写成 -ServerAddress = "203.0.113.10" 会多传一个标记，cmdlet 要么报错，要么保存了你并不想要的内容。正确形式是 -Name "Office L2TP" -ServerAddress 203.0.113.10。
即使语法正确，修改也到不了已经建立的隧道。已建立的连接会一直保留它拨号时用的地址，直到断开，所以测试同一个会话并不能证明新值生效。断开、修改、重新连接，并在连接详情里确认对端地址。
有些属性无法就地修改。当 cmdlet 拒绝时，先记下现有参数，删除配置文件并用修正后的值重建，同时保留原来的隧道和身份验证设置。只想改电话号码的脚本，可以通过 RAS API 编辑电话簿记录，而不必重建一切。无论走哪条路，事后都要确认已保存的值，不要相信命令的沉默。
弄清你改的是哪个电话簿
每用户配置文件位于该用户的网络连接目录，所有用户配置文件位于程序数据树下的全机目录。两者是不同的记录、不同的作用范围，改一个不会动另一个。
所以修改可能看起来消失了：脚本以一个账户运行，测试却用另一个账户。配置文件属于整台机器时要用 -AllUserConnection，回读时也要检查同一个作用范围。
测试之前先回读配置文件
问 Windows 保存了什么，而不是你传了什么：
Get-VpnConnection -Name "Office L2TP" | Select-Object Name, ServerAddress, TunnelType, AuthenticationMethod把这段输出与意图对比，然后发起新连接。如果拨号失败，在再次修改配置文件之前，先看事件查看器里的 RAS 客户端日志，因为日志会指出失败的阶段。
修改时保持身份验证设计完整。只改地址却丢掉证书或 EAP 配置的命令，会产生看似与修改无关的故障；事先导出可用的配置文件，你就有了可恢复的副本，而不是靠猜。