Waarom OpenVPN ná aanmelding begin, maar nie met Windows-opstart nie?

Tonnelverbindings wat eers ná iemand se aanmelding verskyn, word gewoonlik deur daardie persoon se sessie begin, nie deur die outomatiese diens nie. Die gewone skuldige is ’n begin-kortpad wat openvpn-gui.exe loods, en dit is nie ’n stukkende installasie nie. Die kortpad begin ’n lessenaarprogram binne ’n gebruikersessie, met daardie gebruiker se profiel, daardie gebruiker se sertifikaatstore en daardie gebruiker se vermoë om ’n vraag te beantwoord. Niks daarvan maak die verbinding onafhanklik van ’n aangemelde mens nie, en dit is juis wat ’n tonnel vóór aanmelding vereis.

Die simptoom het gewoonlik drie oorsake

Drie patrone lyk van buite dieselfde en het verskillende oplossings. Die eerste is ’n uitvoeringseienaar wat ’n gebruikersessie is eerder as die diens, wat die begin-kortpad-geval is. Die tweede is ’n profiel wat woon waar die diens nie kyk nie, so die diens begin, vind niks en sluit skoon af. Die derde is ’n profiel wat die diens vind en begin, maar wie se geloofsbriewe ’n interaksie nodig het wat geen diens kan lewer nie.

Om te bepaal watter een geld, verg twee leesaksies: waarvoor die diens gekonfigureer is om te loop, en watter lêers dit kan sien. Albei is een opdrag elk, en nie een steur ’n lopende verbinding nie.

Wat die outomatiese diens werklik lees

Die Community outomatiese diens is ’n omhulsel wat sy gekonfigureerde outo-begin-gids, gewoonlik config-auto onder die installasie, aftas en ’n OpenVPN-proses vir elke passende profiel wat hy vind, begin. ’n Profiel wat in ’n gebruiker se GUI-kieslys sigbaar is, woon eerder onder daardie gebruiker se roaming-profiel, in ’n gids wat die diensrekening nie lees nie. Die Windows-diensgids beskryf daardie ontdekking, en dit is die moeite werd om dit te lees voordat jy enigiets kopieer, want die teikengids is ’n eienskap van die installasie eerder as ’n vaste konvensie. Om ’n lêer in die GUI se gids te kopieer, verander dus niks vir die diens nie, en om dit in elke gids met die naam config te kopieer, skep duplikate eerder as ’n oplossing.

Get-Service OpenVPNService | Select-Object Status, StartType
Get-CimInstance Win32_Service | Where-Object Name -eq 'OpenVPNService' | Select-Object PathName, StartName
gci 'C:\Program Files\OpenVPN\config-auto'

Die laaste opdrag lys wat die omhulsel werklik sal sien, wat die vinnigste manier is om te bevestig dat ’n profiel op die verkeerde plek is. Die tweede reël wys ook die rekening waaronder die diens loop, en daardie rekening bepaal watter lêerpaaie en sertifikaatstore hoegenaamd bereikbaar is.

Waarom ’n lessenaaraanmelding werk en ’n opstart nie

Lessenaarsukses kan ’n insetafhanklikheid lank verberg. ’n GUI kan ’n sleutelfrase, ’n rekeningwagwoord of ’n tweede faktor in ’n dialoog invorder, want dit loop in ’n interaktiewe sessie met ’n sigbare lessenaar. ’n Diens loop in ’n sessie sonder lessenaar, so ’n versoek om inset het nêrens om te verskyn nie, en die verbinding misluk ná ’n tydsverloop wat glad nie soos ’n geloofsbriefprobleem lyk nie.

Lêertoegang volg dieselfde reël. ’n Privaat sleutel wat onder die gebruiker se profiel gestoor is, of ’n sertifikaat in die gebruiker se persoonlike store, is nie beskikbaar vir ’n diens wat as die masjien loop nie. Vergelyk absolute paaie, regte en die sertifikaatkeuse wat elke kant maak, eerder as om te aanvaar dat dieselfde profiellêer dieselfde omgewing beteken.

’n Geskeduleerde taak wat gestel is om te loop of ’n gebruiker aangemeld is of nie, erf ’n soortgelyke beperking. Dit kan die GUI-uitvoerbare lêer suksesvol begin en steeds ’n proses lewer wat nooit geloofsbriewe kry nie, so die teenwoordigheid van ’n proses in die taakbestuurder is nie bewys van ’n werkende tonnel nie.

Kies een eienaar en toets die werklike lewensiklus

Vir ’n verbinding wat aan ’n aangemelde persoon behoort, gebruik die GUI se ondersteunde outo-begin-gedrag en los die diens daarby uit. Vir ’n tonnel wat moet bestaan voordat iemand aanmeld, konfigureer die diens, plaas die profiel waar die omhulsel dit lees, en gebruik ’n ondersteunde onbewaakte geloofsbriefmeganisme soos ’n sleutel sonder ’n interaktiewe frasesin of ’n gedokumenteerde geloofsbrieflêer.

Get-Content 'C:\Program Files\OpenVPN\log\openvpn.log' -Tail 40
Get-WinEvent -LogName Application -MaxEvents 20 | Where-Object ProviderName -like '*OpenVPN*'

Toets die lewensiklus wat saak maak: ’n herbegin met niemand wat aanmeld nie, dan ’n herverbinding ná ’n netwerkverandering. Hou een eienaar vir die verbinding, want twee mededingende beginmeganismes lewer gewoonlik twee instansies wat oor dieselfde roetes en dieselfde bediener-sessie veg, wat moeiliker is om te diagnoseer as enige meganisme alleen.