OpenVPN บน Windows: เริ่มทันเนลอัตโนมัติและเก็บเส้นทางไว้

ที่นี่มีข้อกำหนดสองอย่างพัวพันกัน ทันเนลควรถูกยกขึ้นก่อนที่ใครจะลงชื่อเข้าใช้และทราฟฟิกไปยังไซต์ที่สองควรตามมันไป ทั้งสองเป็นปัญหาคนละเรื่องกับกลไกคนละอย่าง การเริ่มบริการตัดสินข้อแรก และอายุของเส้นทางตัดสินข้อที่สอง การแก้ข้อหนึ่งทิ้งอีกข้อไว้ที่เดิม

ขั้นแรก วางโปรไฟล์ไว้ในที่ที่บริการมองหา

บริการ Windows อ่านโปรไฟล์จากไดเรกทอรีตายตัว และ GUI ก็อ่านจากที่เดียวกัน ดังนั้นโปรไฟล์ที่ใช้งานได้ตอนนำเข้าอาจยังมองไม่เห็นตอนบูต วางไฟล์ .ovpn ไว้ในไดเรกทอรี config ของการติดตั้ง ซึ่งปกติอยู่ใต้ Program Files โปรไฟล์ที่ถูกทิ้งไว้ในโฟลเดอร์ Downloads ของผู้ใช้ไม่อยู่ในขอบเขตของบริการเลย

คำแนะนำเก่าชี้ไปที่โฟลเดอร์ config-auto ซึ่งบิลด์บางตัวในยุค 2.5 เคารพ แต่รุ่นหลังไม่ นั่นคือเหตุผลที่การอัปเกรดอาจเปลี่ยนการเริ่มอัตโนมัติที่ทำงานอยู่ให้กลายเป็นความเงียบ โดยไม่มีอะไรในบันทึกเกี่ยวกับข้อมูลรับรอง ยืนยันว่าไดเรกทอรีใดที่บิลด์ที่ติดตั้งอ่านจริงก่อนย้ายไฟล์ใด ๆ

เมื่อมีหลายโปรไฟล์ในเครื่องเดียว ให้แต่ละอันมีอะแดปเตอร์ที่ตั้งชื่อผ่าน dev-node ไม่เช่นนั้นพวกมันจะแย่งอินเทอร์เฟซเดียวกันและอันที่สองล้มเหลวในลักษณะที่ดูเหมือนปัญหาข้อมูลรับรอง

ขั้นที่สอง เริ่มบริการไม่ใช่ไอคอนในถาด

การตั้งค่าบริการOpenVPNเป็น Automatic ทำให้เริ่มตอนบูตโดยไม่ต้องลงชื่อเข้าใช้ นั่นคือกลไก และไอคอนในถาดไม่ใช่ส่วนหนึ่งของมัน เมื่อบริการเป็นเจ้าของการเชื่อมต่อ GUI อาจไม่แสดงไอคอนหรือสถานะใด ๆ ซึ่งเป็นสิ่งที่คาดไว้ ไม่ใช่ความผิดพลาด

ผลลัพธ์คือการตัดการเชื่อมต่อหมายถึงการหยุดบริการ ไม่ใช่การคลิก Disconnect บอกคนที่ดูแลเครื่อง มิฉะนั้นการติดต่อฝ่ายสนับสนุนครั้งแรกจะเกี่ยวกับไอคอนที่หายไป

ตรวจสอบว่าบัญชีบริการอ่านโปรไฟล์และวัสดุกุญแจได้ ปัญหาสิทธิ์ตอนบูตดูในบันทึกเหมือนการยืนยันตัวตนล้มเหลวทุกประการ

ขั้นที่สาม ผูกเส้นทางเข้ากับทันเนล

รายการแบบถาวรเป็นเครื่องมือที่ผิดที่นี่ การเพิ่มเส้นทางด้วย -P ทำให้มันอยู่รอดจากการรีบูต และที่แย่กว่านั้นคืออยู่รอดจากการปิดทันเนล เมื่อ VPN ปิดอยู่ คำนำหน้ายังชี้ไปที่เกตเวย์ที่ไม่มีอยู่แล้ว โฮสต์จึงไปถึงปลายทางนั้นไม่ได้จนกว่าจะมีคนลบรายการนั้น

ทางเลือกสามอย่างทำงานถูกต้อง ผลักเส้นทางจากเซิร์ฟเวอร์ ซึ่งจะเพิ่มเมื่อเชื่อมต่อและลบเมื่อตัดการเชื่อมต่อ เพิ่มไว้ในสคริปต์ route-up ที่อ่าน route_vpn_gateway เพื่อให้ฮอปถัดไปมาจากทันเนลที่เจรจาแล้ว หรือใช้ Add-VpnConnectionRoute กับโปรไฟล์ VPN แบบเนทีฟของ Windows ซึ่งผูกคำนำหน้ากับการเชื่อมต่อนั้น

เมื่อเซิร์ฟเวอร์เสนอมากกว่าที่ไซต์นี้ต้องการ route-nopull จะปฏิเสธเส้นทางที่ถูกผลักและปล่อยตารางให้เป็นแบบโลคอลทั้งหมด วิธีนี้เหมาะกับโปรไฟล์ที่ใช้ร่วมกันซึ่งผู้ใช้ต้องไม่ได้รับเส้นทางเริ่มต้นขององค์กร

ขั้นที่สี่ อยู่ให้รอดจากการบูตแบบเย็น

การเริ่มบริการก่อนที่สแต็กเครือข่ายจะมีอยู่ทำให้เกิดความพยายามหนึ่งครั้งที่ล้มเหลวและไม่มีการลองใหม่ ตั้งเป็น Automatic (Delayed Start) หรือเพิ่มการพึ่งพาบริการเครือข่ายจะขจัดการแข่งกันนั้น จากนั้นทำแบบทดสอบการบูตซ้ำและตรวจสอบว่าไม่จำเป็นต้องลองครั้งที่สองอีก

การเปลี่ยนเส้นทางและอะแดปเตอร์ต้องใช้สิทธิ์ผู้ดูแลระบบ ทางลัดเริ่มต้นต่อผู้ใช้ไม่มีสิทธิ์นั้น สคริปต์ที่ทำงานจากเชลล์ที่ยกระดับจึงอาจไม่ทำอะไรเลยอย่างเงียบ ๆ ตอนลงชื่อเข้าใช้ ตั้งเวลาเป็นงานที่มีสิทธิ์สูงสุด หรือให้บริการรับผิดชอบการเปลี่ยนแปลงนั้น จากนั้นทดสอบในฐานะผู้ใช้ที่จะลงชื่อเข้าใช้จริง

ทดสอบลำดับที่คุณปรับใช้จริง ไม่ใช่ลำดับที่คุณสั่งได้ด้วยมือ การบูตแบบเย็นเป็นการทดสอบเดียวที่ทดสอบลำดับ

ขั้นที่ห้า ตรวจสอบโดยไม่ใช้ GUI

หลังรีบูตและลงชื่อเข้าใช้ ให้ตรวจสอบสามอย่างโดยไม่เปิด GUI อะแดปเตอร์ควรมีที่อยู่ตารางเส้นทางควรแสดงคำนำหน้าของไซต์โดยมีเกตเวย์ของทันเนลเป็นฮอปถัดไปและการ ping ไปยังที่อยู่ฝั่งไกลควรตอบกลับ การตรวจแต่ละอย่างสอดคล้องกับกลไกที่ต่างกันในขั้นตอนข้างต้น

เมื่ออะแดปเตอร์ไม่เคยปรากฏ ผู้ต้องสงสัยคือไดรเวอร์ไม่ใช่โปรไฟล์ ความล้มเหลวสองอย่างนั้นดูไม่เหมือนกันเลยในบันทึก และมีเพียงอย่างเดียวที่ตอบสนองต่อการติดตั้งซอฟต์แวร์ใหม่