OpenVPN op Windows: laat die tonnel outomaties begin en behou die roetes

Twee vereistes raak hier verstrengeld: die tonnel moet voordat iemand aanmeld opkom, en verkeer na 'n tweede terrein moet hom volg. Dit is twee afsonderlike probleme met twee afsonderlike meganismes. Diensopstarting bepaal die eerste, en die leeftyd van die roete bepaal die tweede. As jy die een oplos, bly die ander presies waar dit was.

Stap een: plaas die profiel waar die diens dit soek

Die Windows-diens lees profiele uit 'n vaste gids, en die GUI lees op dieselfde plek, so 'n profiel wat werk wanneer jy dit invoer, kan steeds onsigbaar wees wanneer die rekenaar begin. Plaas die .ovpn-lêers in die config-gids van die installasie, wat gewoonlik onder Program Files sit. 'n Profiel wat in 'n gebruiker se Downloads-gids gelaat word, is glad nie vir die diens in bereik nie.

Ouer leidrade wys na 'n config-auto-gids, wat sommige bouwe van die 2.5-era ondersteun het en latere vrystellings nie. Dis waarom 'n opgradering 'n werkende outostart in stilte kan verander, met niks in die log oor geloofsbriewe nie. Bevestig watter gids die geïnstalleerde bou werklik lees voordat jy enige lêers skuif.

Met verskeie profiele op een masjien, gee elkeen 'n genoemde adapter deur dev-node. Anders ding hulle om dieselfde koppelvlak mee en die tweede misluk op 'n manier wat soos 'n geloofsbriefprobleem lyk.

Stap twee: begin die diens eerder as die taakbalkikoon

Om die OpenVPN-diens op Automaties te stel, laat dit by die selflaai begin sonder 'n aanmelding. Dit is die meganisme, en die taakbalkikoon is nie deel daarvan nie. Wanneer die diens die verbinding besit, wys die GUI dalk geen ikoon en geen status nie, wat verwag word eerder as 'n fout.

Die gevolg is dat ontkoppel beteken om die diens te stop, nie om op Disconnect te klik nie. Vertel dit vir wie ook al die masjien ondersteun, anders gaan die eerste ondersteuningsoproep oor 'n ontbrekende ikoon.

Kontroleer dat die diensrekening die profiel en die sleutelmateriaal kan lees. 'n Toestemmingsprobleem by selflaai lyk presies soos 'n stawingsmislukking in die log.

Stap drie: bind die roete aan die tonnel

'n Aanhoudende inskrywing is die verkeerde werktuig hier. Om 'n roete met -P by te voeg, laat dit selflaai oorleef en, erger, laat dit die sluiting van die tonnel oorleef. Met die VPN af, wys die voorvoegsel steeds na 'n gwateway wat weg is, so die gasheer kan nie daardie bestemming bereik tot iemand die inskrywing uitvee nie.

Drie alternatiewe gedra hulle korrek. Stuur die roete vanaf die bediener, wat dit by verbinding byvoeg en by ontkoppeling verwyder. Voeg dit by in 'n route-up-skrip wat route_vpn_gateway lees, so die volgende sprong kom van die onderhandelde tonnel. Of gebruik Add-VpnConnectionRoute met 'n inheemse Windows-VPN-profiel, wat die voorvoegsel aan daardie verbinding bind.

Wanneer die bediener meer bied as wat hierdie terrein nodig het, weier route-nopull die gestuurde roetes en laat die tabel heeltemal plaaslik. Dit pas by 'n gedeelde profiel wie se gebruikers nie 'n korporatiewe verstekroete mag ontvang nie.

Stap vier: oorleef 'n koue selflaai

Om die diens te begin voordat die netwerkstapel bestaan, lewer een mislukte poging en geen herprobeerslag nie. Om dit op Automaties (Vertraagde Selflaai) te stel, of 'n afhanklikheid van die netwerkdiens by te voeg, verwyder daardie wedloop. Herhaal dan die selflaaitoets en kontroleer dat 'n tweede poging nie meer nodig is nie.

Roete- en adapterveranderinge benodig administrateurregte. 'n Selflaaiskakel per gebruiker het dit nie, so 'n skrip wat uit 'n verhoogde dop werk, kan by aanmelding stilweg niks doen nie. Skeduleer dit as 'n taak met die hoogste voorregte, of laat die diens die verandering besit. Toets dit dan as die gebruiker wat werklik sal aanmeld.

Toets die volgorde wat jy werklik ontplooi eerder as die een wat jy met die hand kan veroorsaak. 'n Koue selflaai is die enigste toets wat die ordening uitoefen.

Stap vyf: verifieer sonder die GUI

Ná 'n herbegin en 'n aanmelding, kontroleer drie dinge sonder om die GUI oop te maak. Die adapter moet 'n adres hou,die roetetabel moet die terreinvoorvoegsel wys met die tonnel-gateway as volgende sprong, en 'n ping na 'n adres aan die oorkant moet antwoord. Elke kontrole pas by 'n ander meganisme uit die stappe hierbo.

Wanneer die adapter nooit verskyn nie, is die drywer die verdagte eerder as die profiel. Daardie twee mislukkings lyk niks soos mekaar in die log nie, en net een van hulle reageer op die herinstallasie van sagteware.