Windows에서 OpenVPN: 터널을 자동으로 시작하고 경로를 유지하기

여기서 두 가지 요구가 얽힙니다. 터널은누구든 로그인하기 전에올라와야 하고, 두 번째 사이트로 가는 트래픽은 그것을 따라야 합니다. 서로 다른 메커니즘을 가진 별개의 문제입니다. 서비스 시작이 첫 번째를 결정하고, 경로의 수명이 두 번째를 결정합니다. 하나를 해결해도 다른 하나는 있던 자리에 그대로 남습니다.

첫 번째 단계: 서비스가 찾는 위치에 프로필을 둡니다

Windows 서비스는 고정된 디렉터리에서 프로필을 읽고 GUI도 같은 곳에서 읽으므로, 가져올 때 작동하는 프로필이 부팅 시에는 보이지 않을 수 있습니다. .ovpn 파일을 설치의 config 디렉터리에 두십시오. 보통 Program Files 아래에 있습니다. 사용자의 Downloads 폴더에 남긴 프로필은 서비스의 범위에 전혀 들어가지 않습니다.

오래된 안내는 config-auto 폴더를 가리키는데, 2.5 시기의 일부 빌드는 이를 존중했고 이후 릴리스는 그렇지 않았습니다. 그래서 업그레이드가 작동하던 자동 시작을 조용히 바꿔 버릴 수 있으며, 로그에는 자격 증명에 대한 내용이 남지 않습니다. 파일을 옮기기 전에 설치된 빌드가 실제로 어느 디렉터리를 읽는지 확인하십시오.

한 머신에 여러 프로필이 있으면 dev-node 로 각각에 이름이 있는 어댑터를 주십시오. 그렇지 않으면 같은 인터페이스를 두고 경쟁하고 두 번째는 자격 증명 문제처럼 보이는 방식으로 실패합니다.

두 번째 단계: 트레이 아이콘이 아니라 서비스를 시작합니다

OpenVPN서비스를 Automatic으로 설정하면 로그인 없이 부팅 시 시작됩니다. 그것이 메커니즘이고 트레이 아이콘은 그 일부가 아닙니다. 서비스가 연결을 소유하면 GUI는 아이콘도 상태도 표시하지 않을 수 있는데, 이는 결함이 아니라 예상된 동작입니다.

그 결과 연결 해제는 Disconnect를 클릭하는 것이 아니라 서비스를 중지하는 것을 뜻합니다. 머신을 지원하는 사람에게 알려 두십시오. 그렇지 않으면 첫 지원 전화는 아이콘이 없다는 내용이 될 것입니다.

서비스 계정이 프로필과 키 자료를 읽을 수 있는지 확인하십시오. 부팅 시의 권한 문제는 로그에서 정확히 인증 실패처럼 보입니다.

세 번째 단계: 경로를 터널에 묶습니다

영구 항목은 여기서 잘못된 도구입니다. -P 로 경로를 추가하면 재부팅을 견디고, 더 나쁘게는 터널이 닫히는 것도 견딥니다. VPN이 내려간 상태에서도 접두사는 사라진 게이트웨이를 가리키므로, 누군가 항목을 지우기 전까지 호스트는 그 목적지에 도달할 수 없습니다.

세 가지 대안이 올바르게 동작합니다. 서버에서 경로를 푸시하면 연결 시 추가되고 해제 시 제거됩니다. route_vpn_gateway 를 읽는 route-up 스크립트에서 추가하면 다음 홉이 협상된 터널에서 옵니다. 또는 Windows 기본 VPN 프로필과 Add-VpnConnectionRoute 를 함께 쓰면 접두사가 그 연결에 묶입니다.

서버가 이 사이트에 필요한 것보다 많이 제공하면 route-nopull 는 푸시된 경로를 거부하고 테이블을 완전히 로컬로 둡니다. 사용자가 기업 기본 경로를 받으면 안 되는 공유 프로필에 알맞습니다.

네 번째 단계: 콜드 부팅을 견딥니다

네트워크 스택이 존재하기 전에 서비스를 시작하면 한 번 실패하고 재시도하지 않습니다. Automatic (Delayed Start)로 설정하거나 네트워크 서비스에 대한 종속성을 추가하면 그 경쟁이 사라집니다. 그런 다음 부팅 테스트를 반복하고 두 번째 시도가 더 이상 필요 없는지 확인하십시오.

경로와 어댑터 변경에는 관리자 권한이 필요합니다. 사용자별 시작 바로 가기에는 그 권한이 없으므로 상승된 셸에서 작동하는 스크립트가 로그온 시 조용히 아무것도 하지 않을 수 있습니다. 최고 권한의 작업으로 예약하거나 서비스가 변경을 맡게 하십시오. 그런 다음 실제로 로그인할 사용자로 테스트하십시오.

직접 트리거할 수 있는 순서가 아니라 실제로 배포하는 순서를 테스트하십시오. 순서를 시험하는 유일한 테스트는 콜드 부팅입니다.

다섯 번째 단계: GUI 없이 확인합니다

재부팅과 로그인 후에 GUI를 열지 않고 세 가지를 확인하십시오. 어댑터가 주소를 가지고 있어야 하고,경로 테이블이 사이트 접두사를 터널 게이트웨이를 다음 홉으로 표시해야 하며, 먼 쪽 주소로의 ping이 응답해야 합니다. 각 확인은 위 단계의 서로 다른 메커니즘에 대응합니다.

어댑터가 전혀 나타나지 않으면 의심할 대상은 프로필이 아니라 드라이버입니다. 그 두 실패는 로그에서 전혀 비슷하지 않고, 소프트웨어 재설치에 반응하는 것은 하나뿐입니다.