OpenVPN på Windows: start tunnelen automatisk og behold ruterne

To krav filtrer sig her sammen: tunnelen skal rejses før nogen logger ind, og trafik til et andet site skal følge den. Det er to separate problemer med to separate mekanismer. Tjenestens opstart afgør det første, og rutens levetid afgør det andet. Løser man det ene, står det andet præcis, hvor det var.

Første trin: læg profilen, hvor tjenesten leder

Windows-tjenesten læser profiler fra en fast mappe, og GUI'en læser samme sted, så en profil, der virker, når du importerer den, kan stadig være usynlig ved opstart. Læg .ovpn-filerne i installationens config-mappe, som normalt ligger under Program Files. En profil, der ligger i en brugers Downloads-mappe, er slet ikke i tjenestens søgefelt.

Ældre vejledning peger på en config-auto-mappe, som nogle builds fra 2.5-æraen respekterede og senere udgivelser ikke. Derfor kan en opgradering gøre en fungerende autostart tavs, uden at der står noget om legitimationsoplysninger i loggen. Bekræft, hvilken mappe den installerede version faktisk læser, før du flytter filer.

Med flere profiler på én maskine skal hver have en navngivet adapter via dev-node. Ellers konkurrerer de om samme interface, og den anden fejler på en måde, der ligner et problem med legitimationsoplysninger.

Andet trin: start tjenesten frem for statusikonet

At sætte tjenesten OpenVPN til Automatic får den til at starte ved opstart uden login. Det er mekanismen, og statusikonet er ikke en del af den. Når tjenesten ejer forbindelsen, viser GUI'en måske hverken ikon eller status, og det er forventet, ikke en fejl.

Konsekvensen er, at afbrydelse betyder at stoppe tjenesten, ikke at klikke på Disconnect. Fortæl det til den, der supporterer maskinen, ellers bliver det første supportopkald om et manglende ikon.

Kontroller, at tjenestekontoen kan læse profilen og nøglematerialet. Et tilladelsesproblem ved opstart ser i loggen præcis ud som en mislykket godkendelse.

Tredje trin: bind ruten til tunnelen

En vedvarende post er det forkerte værktøj her. At tilføje en rute med -P gør den overlevelsesdygtig over for genstarter og, værre, over for at tunnelen lukkes. Med VPN'et nede peger præfikset stadig på en gateway, der er væk, så værten kan ikke nå den destination, før nogen sletter posten.

Tre alternativer opfører sig korrekt. Skub ruten fra serveren, som tilføjer den ved forbindelse og fjerner den ved afbrydelse. Tilføj den i et route-up-script, der læser route_vpn_gateway, så næste hop kommer fra den forhandlede tunnel. Eller brug Add-VpnConnectionRoute med en indbygget Windows VPN-profil, som binder præfikset til den forbindelse.

Når serveren tilbyder mere, end dette site har brug for, afviser route-nopull de skubbede ruter og lader tabellen være helt lokal. Det passer til en delt profil, hvis brugere ikke må modtage en virksomhedsstandardrute.

Fjerde trin: overlev en kold opstart

At starte tjenesten, før netværksstakken findes, giver ét mislykket forsøg og ingen gentagelse. At sætte den til Automatic (Delayed Start) eller tilføje en afhængighed af netværkstjenesten fjerner det kapløb. Gentag derefter opstartstesten, og kontroller, at et andet forsøg ikke længere er nødvendigt.

Rute- og adapterændringer kræver administratorrettigheder. En startgenvej per bruger har dem ikke, så et script, der virker fra en forhøjet shell, kan lydløst gøre ingenting ved login. Planlæg det som en opgave med de højeste rettigheder, eller lad tjenesten eje ændringen. Test det derefter som den bruger, der faktisk logger ind.

Test den sekvens, du faktisk udruller, ikke den, du kan udløse manuelt. En kold opstart er den eneste test, der prøver rækkefølgen.

Femte trin: verificér uden GUI'en

Efter en genstart og et login skal du kontrollere tre ting uden at åbne GUI'en. Adapteren skal have en adresse,rutetabellen skal vise site-præfikset med tunnelens gateway som næste hop, og en ping til en adresse på den anden side skal svare. Hver kontrol svarer til en anden mekanisme fra trinnene ovenfor.

Når adapteren aldrig dukker op, er driveren den mistænkte, ikke profilen. De to fejl ser slet ikke ens ud i loggen, og kun én af dem reagerer på geninstallation af software.