OpenVPN na Windowsu: automatsko pokretanje tunela i zadržavanje ruta

Ovdje se prepliću dva zahtjeva: tunel treba da se podigne prije nego se iko prijavi, a saobraćaj za drugu lokaciju treba da ga prati. To su odvojeni problemi s odvojenim mehanizmima. Pokretanje usluge odlučuje prvi, a životni vijek rute drugi. Rješavanje jednog ostavlja drugo tačno tamo gdje je bilo.

Prvi korak: smjestite profil tamo gdje ga usluga traži

Windows usluga čita profile iz fiksiranog direktorija, a GUI čita s istog mjesta, pa profil koji radi kad ga uvezete i dalje može biti nevidljiv pri podizanju sistema. Stavite datoteke .ovpn u config direktorij instalacije, koji se obično nalazi pod Program Files. Profil ostavljen u korisnikovoj mapi Downloads uopće nije u domenu usluge.

Starija uputstva upućuju na mapu config-auto, koju su neke gradnje iz ere 2.5 poštovale, a kasnija izdanja nisu. Zato nadogradnja može pretvoriti ispravno automatsko pokretanje u tišinu, bez ičega u zapisu o vjerodajnicama. Potvrdite koji direktorij instalirana gradnja zapravo čita prije nego premjestite bilo koje datoteke.

Kad na jednom računaru ima više profila, dajte svakom imenovani adapter kroz dev-node. Inače se takmiče za isto sučelje i drugi ne uspije na način koji izgleda kao problem s vjerodajnicama.

Drugi korak: pokrenite uslugu, a ne ikonu u sistemskoj traci

Postavljanje usluge OpenVPN na Automatic čini da se pokreće pri podizanju sistema bez prijave. To je mehanizam, a ikona u traci nije njegov dio. Kad usluga posjeduje vezu, GUI možda neće prikazati ni ikonu ni status, što je očekivano, a ne kvar.

Posljedica je da prekid znači zaustavljanje usluge, a ne klik na Disconnect. Recite to onome ko održava računar, inače će prvi poziv podršci biti zbog ikone koja nedostaje.

Provjerite može li račun usluge čitati profil i ključni materijal. Problem s dozvolama pri podizanju u zapisu izgleda tačno kao neuspjela autentifikacija.

Treći korak: vežite rutu za tunel

Trajni unos je pogrešan alat ovdje. Dodavanje rute s -P čini da preživi ponovna pokretanja i, još gore, da preživi zatvaranje tunela. Kad je VPN isključen, prefiks i dalje pokazuje na gateway kojeg nema, pa host ne može doći do tog odredišta dok neko ne izbriše unos.

Tri alternative se ponašaju ispravno. Gurnite rutu sa servera, koji je dodaje pri povezivanju i uklanja pri prekidu. Dodajte je u route-up skriptu koja čita route_vpn_gateway, pa sljedeći skok dolazi iz dogovorenog tunela. Ili koristite Add-VpnConnectionRoute s izvornim Windows VPN profilom, koji veže prefiks za tu vezu.

Kad server nudi više nego što ova lokacija treba, route-nopull odbija gurnute rute i ostavlja tablicu potpuno lokalnom. To odgovara dijeljenom profilu čiji korisnici ne smiju dobiti korporativnu zadanu rutu.

Četvrti korak: preživite hladno podizanje

Pokretanje usluge prije nego mrežni stog postoji daje jedan neuspjeli pokušaj i nikakvo ponavljanje. Postavljanje na Automatic (Delayed Start) ili dodavanje zavisnosti od mrežne usluge uklanja tu utrku. Zatim ponovite test podizanja i provjerite da drugi pokušaj više nije potreban.

Promjene ruta i adaptera zahtijevaju administratorska prava. Prečica za pokretanje po korisniku ih nema, pa skripta koja radi iz podignute ljuske može pri prijavi tiho ne učiniti ništa. Zakažite je kao zadatak s najvišim privilegijama ili prepustite promjenu usluzi. Zatim je testirajte kao korisnik koji će se zaista prijaviti.

Testirajte slijed koji zaista postavljate, a ne onaj koji možete pokrenuti ručno. Hladno podizanje jedini je test koji provjerava redoslijed.

Peti korak: provjerite bez GUI-ja

Nakon ponovnog pokretanja i prijave, provjerite tri stvari bez otvaranja GUI-ja. Adapter treba da ima adresu,tablica ruta treba da prikazuje prefiks lokacije s gatewayom tunela kao sljedećim skokom, a ping na adresu s druge strane treba da odgovori. Svaka provjera odgovara drugom mehanizmu iz koraka gore.

Kad se adapter nikad ne pojavi, sumnjiv je drajver, a ne profil. Ta dva kvara u zapisu ne liče nimalo, i samo jedan od njih reaguje na ponovnu instalaciju softvera.