Автозапуск и автоподключение VPN на Windows при старте системы

MAATRIX

VPN, который нужно поднимать руками после каждой перезагрузки — источник дыр: после апдейта Windows туннель не поднялся, и вы час думаете, почему сервис недоступен. Или забыли включить VPN перед работой, и часть сессии ушла в открытую сеть. Ниже — три механизма автозапуска в Windows 10 и 11, сравнение между ними, пошаговая настройка и проверка результата.

Что получится в итоге

Сначала ответьте на один вопрос: VPN нужен вам когда вы за компьютером или всегда, пока машина включена. От этого зависит механизм, права и набор граблей.

Сценарий А. «VPN нужен, только когда я работаю». Ноутбук или домашний ПК с одним пользователем. Туннель поднимается после того, как вы вошли в Windows, и может выключаться при выходе. Подходят автозагрузка и Планировщик с триггером «при входе в систему»: пять минут работы, секреты лежат в вашем профиле.

Сценарий Б. «VPN нужен всегда, в том числе до входа». Сервер, мини-ПК в углу, машина, к которой вы ходите по RDP. Туннель должен подняться сразу после загрузки — на экране входа, когда никто не залогинен. Работает только служба или задача от имени SYSTEM: нужны права администратора, зато вы подключаетесь по RDP сквозь готовый туннель.

Итог в обоих случаях один: после перезагрузки и без единого клика внешний IP отличается от провайдерского, маршруты на месте, а после сна и обрыва туннель встаёт сам.

Словарь: что здесь означают слова

Половина ошибок — от того, что человек настроил не тот механизм.

Главная развилка — между двумя строками: «запускается при входе» значит, что до ввода пароля туннеля нет вообще; «работает до входа» — что туннель поднялся на экране блокировки и переживёт то, что за компьютер никто не сядет.

Два механизма VPN в Windows

Сторонний клиент (WireGuard, OpenVPN GUI, SoftEther, Outline) — отдельное приложение со своим процессом и конфигом. Автозапуск делается функцией самого клиента либо Планировщиком.

Встроенный VPN-тип (IKEv2, L2TP/IPsec, SSTP, PPTP) — подключение из «Параметры → Сеть и Интернет → VPN» или rasphone.exe. Отдельного процесса нет: соединение поднимает служба RasMan, а управлять им из скрипта нужно утилитой rasdial. Что выбрать — в сравнении встроенного клиента и стороннего.

Если подключения ещё не созданы, начните с инструкций: WireGuard на Windows 11, OpenVPN на Windows 11, встроенный IKEv2-клиент.

Три способа автозапуска: сравнение

Способ 1. Автозагрузка и ярлык

1. Win+R → shell:startup — папка автозагрузки текущего пользователя (для всех пользователей — shell:common startup, нужны права администратора).
2. Скопируйте туда ярлык на exe клиента.
3. В свойствах ярлыка, в поле «Объект», допишите аргументы автоподключения — для OpenVPN GUI это --connect office.ovpn.

Когда подходит. Личный ноутбук, один профиль, VPN на время работы.

В чём подвох. До входа туннеля нет: если машина перезагрузилась ночью, зайти на неё утром по RDP через VPN вы не сможете. Прав администратора автозагрузка не даёт — клиент либо покажет UAC, который некому подтвердить, либо тихо не поднимет туннель. И время запуска не контролируется: ярлык часто стартует раньше Wi-Fi.

Способ 2. Планировщик заданий

Планировщик закрывает слабые места автозагрузки: даёт наивысшие права, откладывает старт и умеет запускаться до входа. Через GUI: taskschd.msc → «Создать задачу» (именно её, а не «Создать простую задачу» — в простой нет нужных галочек).

«Общие». «Выполнять с наивысшими правами» — обязательно, если клиент трогает адаптер или маршруты. «Выполнять вне зависимости от того, выполнен ли вход пользователя» — только для сценария Б и только для консольных скриптов: окно клиента в этом режиме никто не увидит. Там же для сценария Б укажите учётную запись SYSTEM.

«Триггеры». «При входе в систему» — сценарий А; выберите конкретного пользователя, иначе задача сработает не под тем профилем. «При запуске компьютера» — сценарий Б. «Отложить задачу на» ставьте всегда: сразу после загрузки сетевой стек ещё не готов.

«Условия». Снимите «Запускать задачу при питании от электросети» и остановку при переходе на батарею — иначе на ноутбуке без розетки задача не выполнится.

«Параметры». Включите «При сбое перезапускать через» и задайте несколько попыток — ретрай при холодном старте.

То же из командной строки (cmd от администратора; ^ — перенос строки в cmd, в PowerShell он не работает):

:: Сценарий А: при входе пользователя, с наивысшими правами
schtasks /create /tn "VPN Autostart" /sc onlogon /rl highest /delay 0000:01 /f ^
  /ru "%USERDOMAIN%\%USERNAME%" ^
  /tr "\"C:\Program Files\OpenVPN\bin\openvpn-gui.exe\" --connect office.ovpn"

:: Сценарий Б: при старте системы, от имени SYSTEM
schtasks /create /tn "VPN Boot" /tr "C:\Scripts\vpn-connect.bat" ^
  /sc onstart /ru "SYSTEM" /rl highest /delay 0000:01 /f

/delay в формате ЧЧЧЧ:ММ работает только с триггерами onstart, onlogon и onevent. Нужна задержка в секундах — задайте её в GUI или первой строкой скрипта: timeout /t 30 >nul.

Способ 3. Клиент как служба Windows

Самый надёжный вариант для сценария Б: туннель поднимается до логина. Общая логика — в материале про автозапуск служб.

У WireGuard for Windows переключатель «Enable» регистрирует туннель как службу WireGuardTunnel$<имя>. То же самое без GUI:

# От имени администратора
wireguard.exe /installtunnelservice "C:\Configs\wg-office.conf"
Get-Service "WireGuardTunnel*"                       # проверить статус
Set-Service -Name "WireGuardTunnel$wg-office" -StartupType Automatic
wireguard.exe /uninstalltunnelservice wg-office      # удалить

У OpenVPN служба OpenVPNService поднимает конфиги из папки автостарта (C:\Program Files\OpenVPN\config-auto, в старых сборках — config) ещё до входа пользователя:

Set-Service -Name "OpenVPNService" -StartupType Automatic
Start-Service -Name "OpenVPNService"

Конфиг с логином и паролем содержит строку auth-user-pass creds.txt: первая строка файла — логин, вторая — пароль. Файл ограничивают правами (icacls creds.txt /inheritance:r /grant:r "SYSTEM:R"), иначе пароль прочитает любой локальный пользователь.

В чём подвох. Служба не видит профиль пользователя: конфиг из %APPDATA% она не найдёт — для службного режима файлы кладут в общесистемную папку. И иконки в трее не будет: у службы нет рабочего стола.

Чтобы служба не стартовала раньше сети и сама поднималась после сбоя:

sc.exe config "OpenVPNService" start= delayed-auto
sc.exe failure "OpenVPNService" reset= 86400 actions= restart/60000/restart/60000/restart/60000

Пробелы после знаков = в синтаксисе sc.exe обязательны — без них команда не сработает.

rasdial: автоподключение встроенных VPN-типов

Для IKEv2, L2TP/IPsec и SSTP автозапуска в GUI нет — нужен rasdial по расписанию. При ручном подключении отметьте «Запомнить мои учётные данные», тогда вызов сводится к rasdial "Office VPN" без пароля. Для сервисного аккаунта пароль передаётся явно (rasdial "Office VPN" service_user "P@ssw0rd") — и тогда доступ к bat-файлу ограничивают через icacls.

Скрипт с проверкой результата и повтором, если сеть ещё не поднялась:

@echo off
setlocal enabledelayedexpansion
set VPN_NAME=Office VPN
set /a attempts=0

:retry
rasdial "%VPN_NAME%"
if errorlevel 1 (
  set /a attempts+=1
  if !attempts! lss 5 ( timeout /t 10 >nul & goto retry )
  exit /b 1
)

Чтобы окно консоли не мелькало при логине, в задачу ставьте не bat, а VBScript-обёртку (wscript.exe //B C:\Scripts\vpn-hidden.vbs):

' vpn-hidden.vbs
Set WshShell = CreateObject("WScript.Shell")
WshShell.Run "cmd /c C:\Scripts\vpn-connect.bat", 0, False

Важное ограничение: подключения rasphone привязаны к профилю пользователя, и задача от имени SYSTEM их не увидит. Для сценария Б создавайте подключение для всех пользователей либо берите сторонний клиент в службном режиме.

Автовход: когда без пользователя всё же никак

Если VPN завязан именно на пользовательский профиль, а логина на сервере не происходит, остаётся автовход — через netplwiz или ветку реестра HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon (AutoAdminLogon, DefaultUserName, DefaultPassword). Это существенный риск: пароль там хранится практически открытым текстом. Только на серверах без посторонних локальных пользователей и с отдельной учётной записью, которая не используется больше нигде; во всех остальных случаях — способ 3.

Если через туннель вы ходите на машину по RDP, порядок критичен: сначала туннель, потом доступность RDP — как это собрать, в материале про VPN и RDP на Windows. Со стороны сервера пригодится настройка файрвола для туннеля.

Как убедиться, что автозапуск реально работает

1. Холодная перезагрузка и состояние до входа. Перезагрузите машину и не входите в систему. С другого компьютера достучитесь до адреса, доступного только через туннель, или зайдите по RDP, ни разу не залогинившись локально. Проходит — механизм работает до входа. Нет — у вас сценарий А, а нужен Б.

2. Внешний IP сменился. Адрес должен принадлежать вашему серверу, а не провайдеру: методика — в разборе, как проверить IP и страну после туннеля. Заодно проверьте, не уходят ли запросы имён мимо туннеля — это проверка на утечку DNS.

3. Маршруты на месте. Частая картина: интерфейс есть, статус «подключено», а маршрута по умолчанию через него нет — трафик идёт в обход. Смотрите вывод route print.

4. Выход из сна. Отправьте машину в сон, разбудите и проверьте IP снова: служба обычно переустанавливает соединение сама, автозагрузка — никогда.

5. Потеря сети. Выключите Wi-Fi на минуту и верните: туннель должен восстановиться сам, иначе нужен watchdog ниже.

6. Журналы. Время последнего запуска задачи и журнал Планировщика покажут, сработал ли триггер или задача пропущена по условию. Повторяйте проверку после обновлений Windows.

Автоматический реконнект при обрыве

VPN может отвалиться посреди дня — сон, смена Wi-Fi, сбой у провайдера. Для встроенных типов помогает задача с повтором по расписанию:

@echo off
:: vpn-watchdog.bat — ставится задачей с триггером «каждые N минут»
set VPN_NAME=Office VPN
rasdial | findstr /c:"%VPN_NAME%" >nul
if errorlevel 1 rasdial "%VPN_NAME%"

:: schtasks /create /tn "VPN Watchdog" /tr "C:\Scripts\vpn-watchdog.bat" /sc minute /mo 5 /rl highest /f

Для WireGuard/OpenVPN в службном режиме реконнект надёжнее настраивать в свойствах службы (вкладка «Восстановление» в services.msc или sc.exe failure выше). Для WireGuard помогает и PersistentKeepalive в секции [Peer]: он держит NAT-сессию открытой.

Четыре приёма, которые стоит добавить

Задержка и повтор при неудачном старте. Комбинация «отложить триггер + при сбое перезапускать N раз» закрывает ранний старт без единой строки кода; в скрипте то же даёт цикл ретраев выше.

Kill switch, чтобы трафик не утёк до подъёма туннеля. Уязвимое окно — секунды между поднятием сети и подъёмом VPN: трафик в это время уходит открытым. У WireGuard for Windows есть штатный переключатель блокировки нетуннелированного трафика; у OpenVPN block-outside-dns закрывает хотя бы DNS. Универсальный путь — правила Windows Firewall, запрещающие исходящий трафик мимо VPN-интерфейса: механика в разборе про kill switch для VPN.

Автозапуск нескольких профилей. Каждому туннелю — своя служба или своя задача. Два полнотуннельных профиля сразу не поднимайте: подерутся за маршрут по умолчанию. Разведите их по подсетям через split tunneling; тонкости — в материале про несколько VPN-подключений одновременно.

Скрипт-проверка «всё поднялось». Отдельная задача через несколько минут после старта проверяет, что интерфейс есть, шлюз пингуется и внешний IP правильный, и пишет результат в файл — после перезагрузки достаточно взглянуть на последнюю строку.

Типичные грабли

Туннель поднимается раньше сети и падает. Задача сработала через секунду после загрузки, адаптер ещё не получил адрес, клиент не разрезолвил имя сервера и вышел с ошибкой. Ретрая нет — туннеля нет до следующей перезагрузки. Лечится задержкой триггера, отложенным запуском службы и перезапуском при сбое.

Задача не запускается из-за условий питания. От батареи задача пропускается тихо: в журнале она числится не ошибкой, а невыполненной по условию.

Запрос пароля или UAC блокирует автозапуск. rasdial без сохранённых учётных данных ждёт ввода, которого в фоне никто не даст; клиент без наивысших прав показывает UAC, который некому подтвердить. Решение: сохранённые данные плюс /rl highest, для сценария Б — запуск от SYSTEM.

Клиент стартует, но маршруты не добавляются. Статус «подключено», трафик идёт мимо — почти всегда нехватка прав на изменение таблицы маршрутизации. Нет маршрута через VPN-интерфейс в route print — дело в правах, а не в сервере.

После обновления Windows автозапуск слетел. Обновления сбрасывают тип запуска службы на «Вручную», а переустановка клиента может заменить службу на новую с другим именем; задача со ссылкой на исчезнувший путь падает.

Туннель поднялся, а сети нет. Handshake прошёл, интерфейс есть, ничего не работает — это уже не автозапуск, а маршрутизация или файрвол: разобрано в статье про WireGuard, который не работает после перезагрузки.

Симптом → вероятная причина → что делать

Шпаргалка команд

# --- Службы ---
Get-Service "WireGuardTunnel*", "OpenVPN*"        # состояние VPN-служб
Set-Service -Name "OpenVPNService" -StartupType Automatic
Restart-Service -Name "OpenVPNService"

# --- Задачи Планировщика ---
Get-ScheduledTaskInfo -TaskName "VPN Autostart"   # время и код последнего запуска
Start-ScheduledTask -TaskName "VPN Autostart"     # прогнать вручную
Get-WinEvent -LogName "Microsoft-Windows-TaskScheduler/Operational" -MaxEvents 30

# --- Интерфейсы и маршруты ---
Get-NetAdapter | Where-Object Status -eq "Up"     # поднятые интерфейсы
Get-NetRoute -DestinationPrefix "0.0.0.0/0"       # кто держит маршрут по умолчанию

# --- Журнал встроенного VPN ---
Get-WinEvent -LogName "Application" -MaxEvents 20 |
  Where-Object { $_.ProviderName -eq "RasClient" }

:: --- cmd-эквиваленты ---
sc.exe qc "OpenVPNService"                       :: тип запуска и путь к exe
schtasks /query /tn "VPN Autostart" /v /fo list  :: подробности задачи
rasdial                                          :: активные RAS-подключения
rasdial "Office VPN" /disconnect                 :: отключить конкретное
route print                                      :: таблица маршрутов

Частые вопросы