OpenVPN на Windows: автоматско стартување на тунелот и задржување на рутите

Овде се преплетуваат два барања: тунелот треба да се крене пред никој да се најави, а сообраќајот за втора локација треба да го следи. Тоа се одделни проблеми со одделни механизми. Стартувањето на услугата го одлучува првиот, а животот на рутата вториот. Решувањето на едниот го остава другиот точно таму каде што бил.

Прв чекор: ставете го профилот таму каде што услугата го бара

Windows-услугата чита профили од фиксен директориум, а GUI чита од истото место, па профил што работи при увезување може да остане невидлив при подигнување. Ставете ги датотеките .ovpn во config директориумот на инсталацијата, кој обично се наоѓа под Program Files. Профил оставен во папката Downloads на корисникот воопшто не е во доменот на услугата.

Поновите упатства покажуваат кон папка config-auto, која некои градби од ерата 2.5 ја почитуваа, а подоцнежните изданија не. Затоа надградбата може да претвори работен автоматски старт во тишина, без ништо во дневникот за акредитиви. Потврдете кој директориум навистина го чита инсталираната градба пред да преместите било кои датотеки.

Кога на една машина има повеќе профили, дајте му на секој именуван адаптер преку dev-node. Инаку тие се натпреваруваат за истиот интерфејс и вториот не успева на начин што личи на проблем со акредитиви.

Втор чекор: стартувајте ја услугата, а не иконата во системската лента

Поставувањето на услугата OpenVPN на Automatic прави таа да се стартува при подигнување без најава. Тоа е механизмот, а иконата во лентата не е дел од него. Кога услугата ја поседува врската, GUI може да не прикажува ниту икона ниту статус, што е очекувано, а не дефект.

Последицата е дека исклучувањето значи запирање на услугата, а не кликнување на Disconnect. Кажете му на тој што ја одржува машината, инаку првиот повик за поддршка ќе биде за икона што недостасува.

Проверете дали сметката на услугата може да ги чита профилот и клучниот материјал. Проблем со дозволи при подигнување во дневникот изгледа точно како неуспешна автентикација.

Трет чекор: врзете ја рутата за тунелот

Постојан запис е погрешна алатка овде. Додавањето рута со -P го прави да ги преживее рестартирањата и, што е полошо, да го преживее затворањето на тунелот. Кога VPN-от е исклучен, префиксот сѐ уште покажува кон порта што повеќе ја нема, па домаќинот не може да стигне до таа дестинација додека некој не го избрише записот.

Три алтернативи се однесуваат правилно. Турнете ја рутата од серверот, кој ја додава при поврзување и ја отстранува при исклучување. Додајте ја во route-up скрипта што го чита route_vpn_gateway, за следниот скок да доаѓа од договорениот тунел. Или користете Add-VpnConnectionRoute со нативен Windows VPN профил, кој го врзува префиксот за таа врска.

Кога серверот нуди повеќе отколку што и треба на оваа локација, route-nopull ги одбива турнатите рути и ја остава табелата целосно локална. Тоа одговара на споделен профил чии корисници не смеат да добијат корпоративна стандардна рута.

Четврт чекор: преживејте ладно подигнување

Стартувањето на услугата пред да постои мрежниот стек дава еден неуспешен обид и без повторување. Поставувањето на Automatic (Delayed Start), или додавањето зависност од мрежната услуга, ја отстранува таа трка. Потоа повторете го тестот за подигнување и проверете дека втор обид повеќе не е потребен.

Промените на рути и адаптер бараат администраторски права. Кратенката за стартување по корисник ги нема, па скрипта што работи од подигната обвивка може при најава тивко да не направи ништо. Закажете ја како задача со највисоки привилегии, или оставете услугата да ја преземе промената. Потоа тестирајте ја како корисникот што навистина ќе се најави.

Тестирајте ја низата што навистина ја распоредувате, а не таа што можете да ја активирате рачно. Ладното подигнување е единствениот тест што го проверува редот.

Петти чекор: проверете без GUI

По рестартирање и најава, проверете три работи без да го отворите GUI. Адаптерот треба да има адреса,табелата со рути треба да го покажува префиксот на локацијата со портата на тунелот како следен скок, и ping до адреса од другата страна треба да одговори. Секоја проверка одговара на различен механизам од чекорите погоре.

Кога адаптерот никогаш не се појавува, сомнителниот е драјверот, а не профилот. Тие две грешки во дневникот не личат воопшто, и само едната од нив реагира на преинсталација на софтвер.