OpenVPN på Windows: start tunnelen automatisk og hald på rutene

Her flokar to krav seg saman: tunnelen skal reisa seg før nokon loggar på, og trafikk til ein annan nettstad skal følgja han. Det er to skilde problem med to skilde mekanismar. Oppstarten av tenesta avgjer det første, og levetida til ruta det andre. Å løyse det eine lèt det andre stå nøyaktig der det var.

Fyrste steg: legg profilen der tenesta leitar

Windows-tenesta les profilar frå ei fast mappe, og GUI-en les frå same staden, så ein profil som verkar når du importerer han, kan likevel vera usynleg ved oppstart. Legg .ovpn-filene i config-mappa til installasjonen, som vanlegvis ligg under Program Files. Ein profil som blir liggjande i Downloads-mappa til ein brukar, er ikkje i det heile innanfor området til tenesta.

Eldre rettleiing peikar på ei config-auto-mappe, som nokre bygg frå 2.5-æraen respekterte og seinare utgåver ikkje. Difor kan ei oppgradering gjera ein fungerande autostart stille, utan at det står noko om påloggingsinformasjon i loggen. Stadfest kva mappe den installerte versjonen faktisk les før du flyttar filer.

Med fleire profilar på éin maskin, gje kvar ein namngjeven adapter via dev-node. Elles kjempar dei om same grensesnitt, og den andre feilar på ein måte som ser ut som eit problem med påloggingsinformasjon.

Andre steg: start tenesta i staden for statusikonet

Å setja tenesta OpenVPN til Automatic får henne til å starta ved oppstart utan pålogging. Det er mekanismen, og statusikonet er ikkje ein del av han. Når tenesta eig sambandet, viser GUI-en kanskje korkje ikon eller status, og det er venta, ikkje ein feil.

Konsekvensen er at å kopla frå tyder å stoppa tenesta, ikkje å klikka på Disconnect. Sei det til den som driftar maskinen, elles blir den fyrste støttesamtalen om eit manglande ikon.

Kontroller at tenestekontoen kan lesa profilen og nøkkelmaterialet. Eit tilgangsproblem ved oppstart ser i loggen nøyaktig ut som ein mislukka autentisering.

Tredje steg: bind ruta til tunnelen

Ei varig oppføring er feil verktøy her. Å leggja til ei rute med -P gjer at ho overlever omstartar og, verre, at ho overlever at tunnelen blir lukka. Med VPN-en nede peikar prefikset framleis på ein gateway som ikkje finst, så verten når ikkje det målet før nokon slettar oppføringa.

Tre alternativ oppfører seg rett. Skyv ruta frå tenaren, som legg henne til ved tilkopling og fjernar henne ved fråkoping. Legg henne til i eit route-up-skript som les route_vpn_gateway, slik at neste hopp kjem frå den forhandla tunnelen. Eller bruk Add-VpnConnectionRoute med ein innebygd Windows VPN-profil, som bind prefikset til det sambandet.

Når tenaren byr på meir enn denne nettstaden treng, avviser route-nopull dei skyvde rutene og lèt tabellen vera heilt lokal. Det passar ein delt profil der brukarane ikkje skal få ei bedriftsstandardrute.

Fjerde steg: overlev ein kald oppstart

Å starta tenesta før nettverksstakken finst gjev eitt mislukka forsøk og inga gjentaking. Å setja henne til Automatic (Delayed Start), eller å leggja til ei avhengnad til nettverkstenesta, fjernar det kappløpet. Gjenta så oppstartstesten og kontroller at eit andre forsøk ikkje lenger er naudsynt.

Rute- og adapterendringar krev administratorrettar. Ein oppstartsnarveg per brukar har dei ikkje, så eit skript som verkar frå ein forhøgd shell, kan stille gjera ingenting ved pålogging. Planlegg det som ei oppgåve med dei høgste rettane, eller lat tenesta eiga endringa. Test det så som brukaren som faktisk loggar på.

Test sekvensen du faktisk rullar ut, ikkje den du kan utløysa for hand. Ein kald oppstart er den einaste testen som prøver rekkjefølgja.

Femte steg: stadfest utan GUI-en

Etter ein omstart og ei pålogging, kontroller tre ting utan å opna GUI-en. Adapteren skal halda på ei adresse,rutetabellen skal visa prefikset til nettstaden med gatewayen til tunnelen som neste hopp, og ein ping til ei adresse på den andre sida skal svara. Kvar kontroll svarar til ein annan mekanisme frå stega over.

Når adapteren aldri dukkar opp, er drivaren den mistenkte, ikkje profilen. Dei to feila ser slett ikkje like ut i loggen, og berre éin av dei svarar på reinstallering av programvare.