OpenVPN pada Windows: mulakan terowong secara automatik dan kekalkan laluan

Di sini dua keperluan terjalin: terowong perlu naik sebelum sesiapa log masuk, dan trafik ke tapak kedua perlu mengikutinya. Ini masalah berasingan dengan mekanisme berasingan. Permulaan perkhidmatan menentukan yang pertama, dan hayat laluan menentukan yang kedua. Menyelesaikan satu membiarkan yang lain tepat di tempatnya.

Langkah satu: letakkan profil di tempat perkhidmatan mencarinya

Perkhidmatan Windows membaca profil dari direktori tetap, dan GUI membaca dari tempat yang sama, jadi profil yang berfungsi semasa anda mengimportnya mungkin masih tidak kelihatan semasa boot. Letakkan fail .ovpn dalam direktori config pemasangan, yang biasanya berada di bawah Program Files. Profil yang ditinggalkan dalam folder Downloads pengguna langsung tidak termasuk dalam skop perkhidmatan.

Panduan lama menunjuk ke folder config-auto, yang dihormati oleh sesetengah binaan era 2.5 dan tidak oleh keluaran kemudian. Itulah sebabnya peningkatan boleh menukar autostart yang berfungsi menjadi senyap, tanpa apa-apa dalam log tentang kelayakan. Sahkan direktori mana yang sebenarnya dibaca oleh binaan yang dipasang sebelum memindahkan sebarang fail.

Dengan beberapa profil pada satu mesin, berikan setiap satu penyesuai bernama melalui dev-node. Jika tidak, mereka bersaing untuk antara muka yang sama dan yang kedua gagal dengan cara yang kelihatan seperti masalah kelayakan.

Langkah dua: mulakan perkhidmatan, bukan ikon dulang

Menetapkan perkhidmatan OpenVPN kepada Automatic menjadikannya bermula semasa boot tanpa log masuk. Itulah mekanismenya, dan ikon dulang bukan sebahagian daripadanya. Apabila perkhidmatan memiliki sambungan, GUI mungkin tidak menunjukkan ikon atau status, yang dijangka dan bukan kerosakan.

Akibatnya, memutuskan sambungan bermaksud menghentikan perkhidmatan, bukan mengklik Disconnect. Beritahu sesiapa yang menyokong mesin itu, jika tidak panggilan sokongan pertama akan mengenai ikon yang hilang.

Semak bahawa akaun perkhidmatan boleh membaca profil dan bahan kunci. Masalah kebenaran semasa boot kelihatan dalam log tepat seperti kegagalan pengesahan.

Langkah tiga: ikat laluan pada terowong

Entri kekal ialah alat yang salah di sini. Menambah laluan dengan -P menjadikannya bertahan daripada but semula dan, lebih buruk, bertahan daripada terowong ditutup. Apabila VPN mati, awalan masih menunjuk ke get laluan yang tidak lagi wujud, jadi hos tidak dapat mencapai destinasi itu sehingga seseorang memadam entri itu.

Tiga alternatif berkelakuan betul. Tolak laluan daripada pelayan, yang menambahnya semasa bersambung dan mengalih keluarnya semasa memutuskan. Tambahkannya dalam skrip route-up yang membaca route_vpn_gateway, supaya lompatan seterusnya datang daripada terowong yang dirundingkan. Atau gunakan Add-VpnConnectionRoute dengan profil VPN asli Windows, yang mengikat awalan pada sambungan itu.

Apabila pelayan menawarkan lebih daripada yang diperlukan tapak ini, route-nopull menolak laluan yang ditolak dan membiarkan jadual sepenuhnya setempat. Itu sesuai untuk profil dikongsi yang penggunanya tidak boleh menerima laluan lalai korporat.

Langkah empat: bertahan daripada boot sejuk

Memulakan perkhidmatan sebelum tindanan rangkaian wujud menghasilkan satu cubaan gagal dan tiada cubaan semula. Menetapkannya kepada Automatic (Delayed Start), atau menambah kebergantungan pada perkhidmatan rangkaian, menghapuskan perlumbaan itu. Kemudian ulangi ujian boot dan sahkan bahawa cubaan kedua tidak lagi diperlukan.

Perubahan laluan dan penyesuai memerlukan hak pentadbir. Pintasan permulaan setiap pengguna tidak mempunyainya, jadi skrip yang berfungsi dari shell yang ditinggikan mungkin senyap tidak melakukan apa-apa semasa log masuk. Jadualkannya sebagai tugas dengan keistimewaan tertinggi, atau biarkan perkhidmatan mengambil alih perubahan itu. Kemudian ujinya sebagai pengguna yang benar-benar akan log masuk.

Uji urutan yang benar-benar anda gunakan, bukan yang boleh anda picu secara manual. Boot sejuk ialah satu-satunya ujian yang melatih urutan itu.

Langkah lima: sahkan tanpa GUI

Selepas but semula dan log masuk, semak tiga perkara tanpa membuka GUI. Penyesuai perlu memegang alamat,jadual laluan perlu menunjukkan awalan tapak dengan get terowong sebagai lompatan seterusnya, dan ping ke alamat di sisi jauh perlu menjawab. Setiap semakan sepadan dengan mekanisme berbeza daripada langkah di atas.

Apabila penyesuai tidak pernah muncul, suspek ialah pemandu dan bukan profil. Kedua-dua kegagalan itu sama sekali tidak serupa dalam log, dan hanya satu daripadanya bertindak balas terhadap pemasangan semula perisian.