OpenVPN na Windowsu: automatsko pokretanje tunela i zadržavanje ruta

Ovdje se isprepliću dva zahtjeva: tunel se treba podići prije nego se itko prijavi, a promet za drugi lokalitet treba ga slijediti. To su odvojeni problemi s odvojenim mehanizmima. Pokretanje usluge odlučuje prvi, a životni vijek rute drugi. Rješavanje jednoga ostavlja drugo točno tamo gdje je bilo.

Prvi korak: smjestite profil tamo gdje ga usluga traži

Windows usluga čita profile iz fiksiranog direktorija, a GUI čita s istoga mjesta, pa profil koji radi kad ga uvezete i dalje može biti nevidljiv pri podizanju sustava. Stavite datoteke .ovpn u config direktorij instalacije, koji se obično nalazi pod Program Files. Profil ostavljen u korisnikovoj mapi Downloads uopće nije u domenu usluge.

Starije upute upućuju na mapu config-auto, koju su neke gradnje iz ere 2.5 poštovale, a kasnija izdanja nisu. Zato nadogradnja može pretvoriti ispravno automatsko pokretanje u tišinu, bez ičega u zapisu o vjerodajnicama. Potvrdite koji direktorij instalirana gradnja zapravo čita prije nego premjestite bilo koje datoteke.

Kad na jednom računalu ima više profila, dajte svakome imenovani adapter kroz dev-node. Inače se natječu za isto sučelje i drugi ne uspije na način koji izgleda kao problem s vjerodajnicama.

Drugi korak: pokrenite uslugu, a ne ikonu u sistemskoj traci

Postavljanje usluge OpenVPN na Automatic čini da se pokreće pri podizanju sustava bez prijave. To je mehanizam, a ikona u traci nije njegov dio. Kad usluga posjeduje vezu, GUI možda neće prikazati ni ikonu ni status, što je očekivano, a ne kvar.

Posljedica je da prekid znači zaustavljanje usluge, a ne klik na Disconnect. Recite to onome tko održava računalo, inače će prvi poziv podršci biti zbog ikone koja nedostaje.

Provjerite može li račun usluge čitati profil i ključni materijal. Problem s dozvolama pri podizanju u zapisu izgleda točno kao neuspjela autentifikacija.

Treći korak: vežite rutu za tunel

Trajni unos pogrešan je alat ovdje. Dodavanje rute s -P čini da preživi ponovna pokretanja i, još gore, da preživi zatvaranje tunela. Kad je VPN isključen, prefiks i dalje pokazuje na pristupnik kojeg nema, pa host ne može doći do tog odredišta dok netko ne izbriše unos.

Tri alternative ponašaju se ispravno. Gurnite rutu s poslužitelja, koji je dodaje pri povezivanju i uklanja pri prekidu. Dodajte je u route-up skriptu koja čita route_vpn_gateway, pa sljedeći skok dolazi iz dogovorenog tunela. Ili upotrijebite Add-VpnConnectionRoute s izvornim Windows VPN profilom, koji veže prefiks za tu vezu.

Kad poslužitelj nudi više nego što ovom lokalitetu treba, route-nopull odbija gurnute rute i ostavlja tablicu posve lokalnom. To odgovara dijeljenom profilu čiji korisnici ne smiju dobiti korporativnu zadanu rutu.

Četvrti korak: preživite hladno podizanje

Pokretanje usluge prije nego mrežni stog postoji daje jedan neuspjeli pokušaj i nikakvo ponavljanje. Postavljanje na Automatic (Delayed Start) ili dodavanje ovisnosti o mrežnoj usluzi uklanja tu utrku. Zatim ponovite test podizanja i provjerite da drugi pokušaj više nije potreban.

Promjene ruta i adaptera zahtijevaju administratorska prava. Prečac za pokretanje po korisniku nema ih, pa skripta koja radi iz povišene ljuske može pri prijavi tiho ne učiniti ništa. Zakažite je kao zadatak s najvišim ovlastima ili prepustite promjenu usluzi. Zatim je testirajte kao korisnik koji će se zaista prijaviti.

Testirajte slijed koji zaista postavljate, a ne onaj koji možete pokrenuti ručno. Hladno podizanje jedini je test koji provjerava redoslijed.

Peti korak: provjerite bez GUI-ja

Nakon ponovnog pokretanja i prijave, provjerite tri stvari bez otvaranja GUI-ja. Adapter treba imati adresu,tablica ruta treba prikazivati prefiks lokaliteta s pristupnikom tunela kao sljedećim skokom, a ping na adresu s druge strane treba odgovoriti. Svaka provjera odgovara drugom mehanizmu iz koraka gore.

Kad se adapter nikad ne pojavi, sumnjiv je upravljački program, a ne profil. Ta dva kvara u zapisu ne liče nimalo, i samo jedan od njih reagira na ponovnu instalaciju softvera.