OpenVPN trên Windows: tự khởi động đường hầm và giữ các tuyến

Ở đây có hai yêu cầu đan xen: đường hầm phải được dựng lên trước khi bất kỳ ai đăng nhập, và lưu lượng đến trang thứ hai phải đi theo nó. Đây là hai vấn đề riêng biệt với hai cơ chế riêng biệt. Việc khởi động dịch vụ quyết định cái thứ nhất, và vòng đời của tuyến quyết định cái thứ hai. Giải quyết cái này để cái kia y nguyên chỗ cũ.

Bước một: đặt hồ sơ vào nơi dịch vụ tìm kiếm

Dịch vụ Windows đọc hồ sơ từ một thư mục cố định, và GUI cũng đọc từ chỗ đó, nên một hồ sơ hoạt động khi bạn nhập vào vẫn có thể vô hình khi khởi động. Hãy đặt các tệp .ovpn vào thư mục config của bản cài, thường nằm dưới Program Files. Một hồ sơ bị bỏ lại trong thư mục Downloads của người dùng hoàn toàn không thuộc phạm vi của dịch vụ.

Hướng dẫn cũ chỉ vào thư mục config-auto, thứ mà một số bản dựng thời 2.5 tôn trọng còn các bản phát hành sau thì không. Đó là lý do một bản nâng cấp có thể biến tính năng tự khởi động đang chạy thành im lặng, mà nhật ký không ghi gì về thông tin xác thực. Hãy xác nhận bản dựng đã cài thực sự đọc thư mục nào trước khi di chuyển bất kỳ tệp nào.

Khi có nhiều hồ sơ trên một máy, hãy cấp cho mỗi hồ sơ một bộ điều hợp có tên thông qua dev-node. Nếu không, chúng tranh nhau cùng một giao diện và cái thứ hai thất bại theo cách trông giống sự cố thông tin xác thực.

Bước hai: khởi động dịch vụ chứ không phải biểu tượng khay hệ thống

Đặt dịch vụ OpenVPN ở chế độ Automatic khiến nó khởi động cùng hệ thống mà không cần đăng nhập. Đó chính là cơ chế, và biểu tượng khay không phải là một phần của nó. Khi dịch vụ sở hữu kết nối, GUI có thể không hiển thị biểu tượng hay trạng thái nào, điều này là bình thường chứ không phải lỗi.

Hệ quả là ngắt kết nối có nghĩa là dừng dịch vụ, chứ không phải bấm Disconnect. Hãy nói điều này với người hỗ trợ máy, nếu không cuộc gọi hỗ trợ đầu tiên sẽ là về một biểu tượng bị thiếu.

Kiểm tra xem tài khoản dịch vụ có đọc được hồ sơ và vật liệu khóa không. Sự cố quyền khi khởi động trông trong nhật ký đúng như một lần xác thực thất bại.

Bước ba: gắn tuyến vào đường hầm

Mục nhập cố định là công cụ sai ở đây. Thêm tuyến bằng -P khiến nó sống sót qua các lần khởi động lại và, tệ hơn, sống sót cả khi đường hầm đóng lại. Khi VPN tắt, tiền tố vẫn trỏ tới một cổng không còn tồn tại, nên máy chủ không thể đến đích đó cho đến khi ai đó xóa mục nhập.

Ba lựa chọn thay thế hoạt động đúng. Đẩy tuyến từ máy chủ, nó thêm vào khi kết nối và gỡ ra khi ngắt kết nối. Thêm nó vào một script route-up đọc route_vpn_gateway, để bước nhảy tiếp theo đến từ đường hầm đã thương lượng. Hoặc dùng Add-VpnConnectionRoute với hồ sơ VPN gốc của Windows, thứ gắn tiền tố vào kết nối đó.

Khi máy chủ cung cấp nhiều hơn nhu cầu của trang này, route-nopull từ chối các tuyến được đẩy và để bảng hoàn toàn cục bộ. Điều đó phù hợp với một hồ sơ dùng chung mà người dùng không được nhận tuyến mặc định của công ty.

Bước bốn: sống sót qua một lần khởi động nguội

Khởi động dịch vụ trước khi ngăn xếp mạng tồn tại tạo ra một lần thử thất bại và không thử lại. Đặt nó ở Automatic (Delayed Start), hoặc thêm phụ thuộc vào dịch vụ mạng, sẽ loại bỏ cuộc đua đó. Sau đó lặp lại bài kiểm tra khởi động và xác nhận rằng không còn cần lần thử thứ hai.

Các thay đổi tuyến và bộ điều hợp cần quyền quản trị. Một lối tắt khởi động theo từng người dùng không có quyền đó, nên một script chạy từ shell đã nâng quyền có thể lặng lẽ không làm gì khi đăng nhập. Hãy lên lịch nó như một tác vụ với đặc quyền cao nhất, hoặc để dịch vụ đảm nhận thay đổi. Sau đó hãy thử nó với tư cách người dùng thực sự sẽ đăng nhập.

Hãy kiểm tra trình tự bạn thực sự triển khai, không phải trình tự bạn có thể kích hoạt bằng tay. Khởi động nguội là bài kiểm tra duy nhất rèn luyện thứ tự.

Bước năm: xác minh mà không cần GUI

Sau khi khởi động lại và đăng nhập, hãy kiểm tra ba thứ mà không mở GUI. Bộ điều hợp phải giữ một địa chỉ,bảng tuyến phải hiển thị tiền tố của trang với cổng của đường hầm là bước nhảy tiếp theo, và một ping tới địa chỉ ở phía xa phải trả lời. Mỗi kiểm tra tương ứng với một cơ chế khác nhau từ các bước trên.

Khi bộ điều hợp không bao giờ xuất hiện, nghi phạm là trình điều khiển chứ không phải hồ sơ. Hai lỗi đó trông hoàn toàn khác nhau trong nhật ký, và chỉ một trong hai phản ứng với việc cài lại phần mềm.