OpenVPN sistemoje Windows: automatiškai paleisti tunelį ir išsaugoti maršrutus

Čia susipina du reikalavimai: tunelis turi pakilti prieš kam nors prisijungiant, o srautas į antrą svetainę turi juo sekti. Tai atskiros problemos su atskirais mechanizmais. Paslaugos paleidimas nusprendžia pirmąją, o maršruto gyvavimo trukmė – antrąją. Išsprendus vieną, kita lieka tiksliai ten, kur buvo.

Pirmas žingsnis: įdėkite profilį ten, kur jo ieško paslauga

Windows paslauga profilius skaito iš fiksuoto katalogo, o GUI skaito iš tos pačios vietos, todėl profilis, kuris veikia importuojant, vis tiek gali būti nematomas paleidimo metu. Įdėkite .ovpn failus į diegimo config katalogą, kuris paprastai yra Program Files viduje. Profilis, paliktas vartotojo Downloads aplanke, visiškai nepatenka į paslaugos apimtį.

Senesnės instrukcijos nurodo config-auto aplanką, kurį gerbė kai kurie 2.5 eros paketai, o vėlesni leidimai – ne. Todėl naujinimas gali paversti veikiantį automatinį paleidimą tyla, net jei žurnale nieko nebus apie prisijungimo duomenis. Prieš perkeldami bet kokius failus patvirtinkite, kurį katalogą iš tikrųjų skaito įdiegtas paketas.

Kai viename kompiuteryje yra keli profiliai, kiekvienam duokite pavadintą adapterį per dev-node. Priešingu atveju jie konkuruoja dėl tos pačios sąsajos, o antrasis nepavyksta taip, kad atrodo kaip prisijungimo duomenų problema.

Antras žingsnis: paleiskite paslaugą, o ne dėklo piktogramą

Paslaugos OpenVPN nustatymas į Automatic leidžia jai paleistis įjungus kompiuterį be prisijungimo. Tai ir yra mechanizmas, o dėklo piktograma nėra jo dalis. Kai ryšį valdo paslauga, GUI gali nerodyti nei piktogramos, nei būsenos, ir tai yra numatyta, o ne gedimas.

Pasekmė ta, kad atsijungimas reiškia paslaugos sustabdymą, o ne paspaudimą ant Disconnect. Pasakykite tai tam, kas prižiūri kompiuterį, kitaip pirmas pagalbos skambutis bus apie trūkstamą piktogramą.

Patikrinkite, ar paslaugos paskyra gali skaityti profilį ir raktų medžiagą. Teisių problema paleidimo metu žurnale atrodo lygiai kaip autentifikavimo klaida.

Trečias žingsnis: pririškite maršrutą prie tunelio

Nuolatinis įrašas čia yra netinkamas įrankis. Maršruto pridėjimas su -P leidžia jam išgyventi perkrovimus ir, dar blogiau, išgyventi tunelio uždarymą. Kai VPN išjungtas, prefiksas vis dar rodo į vartus, kurių nebėra, todėl mazgas negali pasiekti tos paskirties, kol kas nors neištrina įrašo.

Trys alternatyvos elgiasi teisingai. Stumkite maršrutą iš serverio, kuris jį prideda prisijungus ir pašalina atsijungus. Pridėkite jį route-up scenarijuje, kuris skaito route_vpn_gateway, kad kitas šuolis ateitų iš suderinto tunelio. Arba naudokite Add-VpnConnectionRoute su vietiniu Windows VPN profiliu, kuris pririša prefiksą prie to ryšio.

Kai serveris siūlo daugiau, nei šiai svetainei reikia, route-nopull atmeta stumiamus maršrutus ir palieka lentelę visiškai vietinę. Tai tinka bendram profiliui, kurio vartotojai neturi gauti įmonės numatytojo maršruto.

Ketvirtas žingsnis: išgyvenkite šaltą paleidimą

Paslaugos paleidimas prieš atsirandant tinklo kamienui duoda vieną nepavykusį bandymą ir jokio pakartojimo. Nustačius Automatic (Delayed Start) arba pridėjus priklausomybę nuo tinklo paslaugos, šios lenktynės išnyksta. Tada pakartokite paleidimo testą ir patikrinkite, kad antro bandymo nebėra reikia.

Maršrutų ir adapterių pakeitimams reikia administratoriaus teisių. Kiekvieno vartotojo paleidimo nuoroda jų neturi, todėl scenarijus, veikiantis iš pakeltos komandinės eilutės, prisijungiant gali tyliai nieko nepadaryti. Suplanuokite jį kaip užduotį su didžiausiomis privilegijomis arba leiskite paslaugai atlikti pakeitimą. Tada išbandykite jį kaip vartotojas, kuris iš tikrųjų prisijungs.

Išbandykite seką, kurią iš tikrųjų diegiate, o ne tą, kurią galite paleisti rankiniu būdu. Šaltas paleidimas yra vienintelis testas, kuris išbando tvarką.

Penktas žingsnis: patikrinkite be GUI

Po perkrovimo ir prisijungimo patikrinkite tris dalykus neatidarę GUI. Adapteris turi turėti adresą,maršrutų lentelė turi rodyti svetainės prefiksą su tunelio vartais kaip kitu šuoliu, o ping į adresą kitoje pusėje turi atsakyti. Kiekvienas patikrinimas atitinka skirtingą mechanizmą iš aukščiau pateiktų žingsnių.

Kai adapteris niekada neatsiranda, įtariamasis yra tvarkyklė, o ne profilis. Tos dvi gedimų rūšys žurnale visai nepanašios, ir tik viena iš jų reaguoja į programinės įrangos perdiegimą.