OpenVPN vo Windows: automatické spustenie tunela a zachovanie trás

Tu sa prepletajú dve požiadavky: tunel by sa mal zdvihnúť skôr, než sa ktokoľvek prihlási, a prevádzka pre druhú lokalitu by ho mala nasledovať. Sú to oddelené problémy s oddelenými mechanizmami. Štart služby rozhoduje o prvom, životnosť trasy o druhom. Vyriešenie jedného nechá druhé presne tam, kde bolo.

Prvý krok: umiestnite profil tam, kde ho služba hľadá

Služba Windows číta profily z pevného adresára a GUI číta z toho istého miesta, takže profil, ktorý funguje pri importe, môže byť pri štarte neviditeľný. Umiestnite súbory .ovpn do adresára config inštalácie, ktorý sa zvyčajne nachádza pod Program Files. Profil ponechaný v priečinku Downloads používateľa vôbec nie je v dosahu služby.

Staršie návody ukazujú na priečinok config-auto, ktorý rešpektovali niektoré buildy z éry 2.5 a neskoršie vydania nie. Preto môže aktualizácia premeniť fungujúci automatický štart na ticho, bez čohokoľvek v logu o prihlasovacích údajoch. Pred presunom akýchkoľvek súborov overte, ktorý adresár nainštalovaný build skutočne číta.

Keď je na jednom stroji viac profilov, dajte každému pomenovaný adaptér cez dev-node. Inak súťažia o rovnaké rozhranie a druhý zlyhá spôsobom, ktorý vyzerá ako problém s prihlasovacími údajmi.

Druhý krok: spustite službu, nie ikonu v oznamovacej oblasti

Nastavenie služby OpenVPN na Automatic spôsobí, že sa spustí pri boote bez prihlásenia. To je ten mechanizmus a ikona v oznamovacej oblasti doň nepatrí. Keď spojenie vlastní služba, GUI nemusí zobraziť žiadnu ikonu ani stav, čo je očakávané, nie porucha.

Dôsledkom je, že odpojenie znamená zastavenie služby, nie kliknutie na Disconnect. Povedzte to tomu, kto stroj podporuje, inak bude prvý hovor na podporu o chýbajúcej ikone.

Overte, že účet služby dokáže čítať profil a kľúčový materiál. Problém s právami pri boote vyzerá v logu presne ako zlyhanie autentifikácie.

Tretí krok: priviažte trasu k tunelu

Trvalý záznam je tu nesprávny nástroj. Pridanie trasy s -P zabezpečí, že prežije reštarty a, čo je horšie, prežije aj zatvorenie tunela. Keď je VPN vypnutá, prefix stále ukazuje na bránu, ktorá už neexistuje, takže hostiteľ nedosiahne cieľ, kým niekto záznam nevymaže.

Tri alternatívy sa správajú korektne. Vnúťte trasu zo servera, ktorý ju pridá pri pripojení a odstráni pri odpojení. Pridajte ju do skriptu route-up, ktorý číta route_vpn_gateway, aby ďalší skok prišiel z vyjednaného tunela. Alebo použite Add-VpnConnectionRoute s natívnym profilom VPN Windows, ktorý viaže prefix k tomuto spojeniu.

Keď server ponúka viac, než táto lokalita potrebuje, route-nopull odmietne vnútené trasy a nechá tabuľku úplne lokálnu. To sedí zdieľanému profilu, ktorého používatelia nesmú dostať firemnú predvolenú trasu.

Štvrtý krok: prežite studený štart

Spustenie služby skôr, než existuje sieťový zásobník, dá jeden neúspešný pokus a žiadne opakovanie. Nastavenie na Automatic (Delayed Start) alebo pridanie závislosti od sieťovej služby ten pretek odstráni. Potom zopakujte test štartu a overte, že druhý pokus už nie je potrebný.

Zmeny trás a adaptérov vyžadujú práva správcu. Zástupca automatického spustenia pre jednotlivého používateľa ich nemá, takže skript, ktorý funguje zo zvýšeného shellu, pri prihlásení môže ticho nič neurobiť. Naplánujte ho ako úlohu s najvyššími právami alebo nechajte zmenu na službe. Potom ho otestujte ako používateľ, ktorý sa skutočne prihlási.

Testujte postupnosť, ktorú skutočne nasadzujete, nie tú, ktorú viete spustiť ručne. Studený štart je jediný test, ktorý precvičuje poradie.

Piaty krok: overte to bez GUI

Po reštarte a prihlásení skontrolujte tri veci bez otvorenia GUI. Adaptér má mať adresu,tabuľka trás má ukazovať prefix lokality s bránou tunela ako ďalším skokom, a ping na adresu na druhej strane má odpovedať. Každá kontrola zodpovedá inému mechanizmu z krokov vyššie.

Keď sa adaptér nikdy neobjaví, podozrivý je ovládač, nie profil. Tie dve poruchy v logu vyzerajú úplne inak a iba jedna z nich reaguje na preinštalovanie softvéru.