OpenVPN a Windows: inici automàtic del túnel i conservació de les rutes

Aquí es barregen dos requisits: el túnel ha d'aixecar-se abans que ningú iniciï sessió, i el trànsit d'un segon lloc ha de seguir-lo. Són problemes separats amb mecanismes separats. L'arrencada del servei decideix el primer, i la vida de la ruta decideix el segon. Resoldre un deixa l'altre exactament on era.

Primer pas: poseu el perfil on el servei el busca

El servei de Windows llegeix els perfils d'un directori fix, i la GUI llegeix del mateix lloc, així que un perfil que funciona quan l'importeu pot continuar sent invisible en arrencar. Poseu els fitxers .ovpn al directori config de la instal·lació, que normalment és sota Program Files. Un perfil deixat a la carpeta Downloads d'un usuari no entra gens a l'abast del servei.

Les indicacions antigues apunten a una carpeta config-auto, que algunes compilacions de l'època 2.5 respectaven i les versions posteriors no. És per això que una actualització pot convertir un inici automàtic que funciona en silenci, sense res al registre sobre credencials. Confirmeu quin directori llegeix realment la compilació instal·lada abans de moure cap fitxer.

Amb diversos perfils en una màquina, doneu a cadascun un adaptador amb nom mitjançant dev-node. Si no, competeixen per la mateixa interfície i el segon falla d'una manera que sembla un problema de credencials.

Segon pas: inicieu el servei, no la icona de la safata

Posar el servei OpenVPN en Automatic fa que s'iniciï en arrencar sense cap inici de sessió. Aquest és el mecanisme, i la icona de la safata no en forma part. Quan el servei posseeix la connexió, la GUI pot no mostrar cap icona ni cap estat, cosa que és esperada i no una avaria.

La conseqüència és que desconnectar vol dir aturar el servei, no clicar Disconnect. Digueu-ho a qui doni suport a la màquina, o la primera trucada de suport serà per una icona que falta.

Comproveu que el compte del servei pugui llegir el perfil i el material de clau. Un problema de permisos en arrencar sembla exactament una fallada d'autenticació al registre.

Tercer pas: lligueu la ruta al túnel

Una entrada persistent és l'eina equivocada aquí. Afegir una ruta amb -P la fa sobreviure als reinicis i, pitjor, la fa sobreviure al tancament del túnel. Amb la VPN aturada, el prefix encara apunta a una passarel·la que ja no hi és, així que l'amfitrió no pot arribar a aquesta destinació fins que algú esborri l'entrada.

Tres alternatives es comporten correctament. Empenyeu la ruta des del servidor, que l'afegeix en connectar i la treu en desconnectar. Afegiu-la en un script route-up que llegeixi route_vpn_gateway, perquè el següent salt vingui del túnel negociat. O feu servir Add-VpnConnectionRoute amb un perfil VPN natiu de Windows, que lliga el prefix a aquesta connexió.

Quan el servidor ofereix més del que aquest lloc necessita, route-nopull rebutja les rutes empenyudes i deixa la taula del tot local. Això escau a un perfil compartit els usuaris del qual no han de rebre una ruta per defecte corporativa.

Quart pas: sobreviure a una arrencada en fred

Iniciar el servei abans que existeixi la pila de xarxa produeix un intent fallit i cap reintent. Posar-lo en Automatic (Delayed Start), o afegir una dependència del servei de xarxa, elimina aquesta cursa. Després repetiu la prova d'arrencada i comproveu que un segon intent ja no cal.

Els canvis de ruta i d'adaptador necessiten drets d'administrador. Una drecera d'inici per usuari no els té, així que un script que funciona des d'una consola elevada pot no fer res en silenci en iniciar sessió. Programeu-lo com a tasca amb els privilegis més alts, o deixeu que el servei assumeixi el canvi. Després proveu-lo com l'usuari que realment iniciarà sessió.

Proveu la seqüència que realment desplegueu, no la que podeu desencadenar a mà. Una arrencada en fred és l'única prova que exerceix l'ordre.

Cinquè pas: verifiqueu sense la GUI

Després d'un reinici i d'un inici de sessió, comproveu tres coses sense obrir la GUI. L'adaptador ha de tenir una adreça,la taula de rutes ha de mostrar el prefix del lloc amb la passarel·la del túnel com a següent salt, i un ping a una adreça de l'altre costat ha de respondre. Cada comprovació correspon a un mecanisme diferent dels passos anteriors.

Quan l'adaptador no apareix mai, el sospitós és el controlador i no el perfil. Aquestes dues fallades no s'assemblen gens al registre, i només una d'elles respon a reinstal·lar programari.