Служба OpenVPN збойвае на профілі, які адкрывае графічны інтэрфейс: пяць праверак

Два запускальнікі адкрываюць адзін і той жа профіль на адной машыне, і злучаецца толькі графічны інтэрфейс. Файл цэлы, і ўсталёўшчык, верагодна, у парадку; адрозніваецца кантэкст, які кожны запускальнік дае openvpn.exe. Працоўны каталог, ідэнтычнасць уліковага запісу і атрыбуты файла ўсе ідуць разам з гэтым кантэкстам. Правярайце іх у гэтым парадку і спыніцеся на першым, які тлумачыць памылку.

Упэўніцеся, які запускальнік збойвае

Пачніце з доказу падзелу. Калі графічны інтэрфейс злучаецца, а служба не, з тым жа шляхам профілю, значыць, файл чытаецца кімсьці, і пытанне ў тым, хто яго чытае і адкуль. Калі збойваюць абодва, профіль пашкоджаны, і ўсё гэта не датычыцца. Запішыце назву службы і дакладны профіль, які ёй загадана загрузіць.

Служба, накіраваная ў свой уласны каталог аўтазапуску, можа не загружаць файл, адкрыты ў рэдактары. Параўнайце шлях у канфігурацыі службы са шляхам у графічным інтэрфейсе, сімвал за сімвалам, бо назва папкі ў канцы або іншая літара дыска дастаткова, каб павесці вас не ў тую галіну.

Дзе развязваюцца адносныя шляхі

Профіль, які спасылаецца на ca.crt або дапаможны скрыпт паводле голага імя, патрабуе пошуку адносна таго месца, дзе знаходзіцца працэс. Графічны інтэрфейс стартуе ў каталогу канфігурацыі, таму гэтыя імёны развязваюцца. Служба, запушчаная кіраўніком службаў, не мае такой кропкі старту, і пошук збойвае да чытання любога сертыфіката. Таму адзін і той жа профіль працуе ў адным запускальніку і не працуе ў другім.

Дайце абгортцы каталог для старту або зрабіце кожную спасылку абсалютнай. Адпаўтварэнне кантэксту графічнага інтэрфейса ў камандным радку выглядае так:

openvpn --cd "C:\VPN\profiles\office" --config "C:\VPN\profiles\office\office.ovpn"

Павышэнне ўзроўню падрабязнасці ў гэтай камандзе пакажа дакладны шлях, які быў спробаваны. Зрабіце гэта перад змяненнем правоў, бо адсутны файл і адмоўленае чытанне патрабуюць розных выпраўленняў. Стандартны журнал іх не адрознівае. Адзін дадатковы сцяг зэканоміць гадзіну здагадак.

Калі ідэнтычнасць службы не можа чытаць

Служба працуе як сістэмная ідэнтычнасць, а не як вы. ACL, які дае вашаму карыстальніку поўны кантроль і нікому больш, збойвае там, хоць ідэальна працуе ў вашым сеансе. Профіль, захаваны на пазначаным дыску або на аўтэнтыфікаваным агульным рэсурсе, збойвае па той жа прычыне. Пацвердзіце правы файла, перш чым глядзець на што-небудзь іншае.

Праверка — гэта чытанне эфектыўных правоў плюс чытанне, спробаванае як ідэнтычнасць службы. Выканайце першую частку з прывілеяванага каманднага радка:

icacls "C:\VPN\profiles\office\office.ovpn"

Затым паспрабуйце тое ж чытанне як ідэнтычнасць службы, напрыклад з дапамогай psexec -s -i ад Sysinternals, і паназірайце, ці адкрыецца файл. Калі не, ніякае выпраўленне шляху не дапаможа. Выпраўце ACL або перанясіце профіль у месца, якое ідэнтычнасць службы можа чытаць.

Шыфраванне на ўзроўні файла — другі, радзейшы выпадак. Профіль, пазначаны атрыбутам Encrypting File System, празрыста расшыфроўваецца для карыстальніка, які яго зашыфраваў, і застаецца нечытэльным для ўліковага запісу службы. Таму той жа файл адкрываецца ў вашым рэдактары і не адкрываецца пад службай.

Атрыбут бачны з прывілеяванага каманднага радка, і яго праверка не адкрывае профіль. Выканайце абедзве каманды і прачытайце вывад:

cipher /s:"C:\VPN\profiles\office"
attrib "C:\VPN\profiles\office\office.ovpn"

Зняцце атрыбута робіць файл чытэльным, але яно таксама здымае абарону, якую ён нёс. Калі профіль павінен заставацца абароненым, пакладзіце сакрэтны матэрыял туды, дзе ідэнтычнасць службы мае яўнае прадастаўленне, замест таго каб спадзявацца на шыфраванне па карыстальніку. Такая схема перажывае змену пароля і робіць доступ даступным для агляду іншым чалавекам, а не тым, хто зашыфраваў файл.

Вызначэнне ўладальніка тунэля

Графічны інтэрфейс можа запытаць пароль і прачытаць сертыфікат з вашага сховішча карыстальніка. Служба не можа ні таго, ні іншага, таму профіль, які залежыць ад інтэрактыўнага сакрэту, ніколі не запусціцца без нагляду, як бы ні выпраўляліся шляхі. Гэта абмежаванне — рашэнне праектавання, а не дэфект, які трэба абыходзіць. Выберыце аднаго ўладальніка, перш чым змяняць што-небудзь іншае.

Калі тунэль павінен быць узняты да ўваходу ў сістэму, дайце службе крыніцу ўліковых даных без удзелу чалавека і ўласную копію профілю. Калі ён павінен існаваць толькі пакуль вы за сталом, трымайце яго ў графічным інтэрфейсе і выдаліце копію службы. Абодва адначасова — гэта канфігурацыя, якая спараджае канфлікты адаптараў і дублікаты маршрутаў.

Такі канфлікт звычайна дыягнастуюць як памылку канфігурацыі, а не як двух уладальнікаў, якія змагаюцца за адзін адаптар. Журнал падзей пакажа, што адзін працэс не здолеў адкрыць прыладу TAP, што выглядае як праблема з правамі, але ёй не з’яўляецца. Спачатку палічыце ўладальнікаў.

Што насамрэч запускае абгортка службы

Кропка ўваходу службы — невялікая абгортка, якая чытае свае захаваныя параметры, а затым запускае openvpn.exe. Калі камандны радок у журнале падзей не супадае з вашымі чаканнямі, менавіта гэтыя значэнні трэба аглядаць. Перавысталёўка скідвае іх да стандартных і знішчае доказы. Прачытайце іх першымі.

Значэнні жывуць у рэестры пад уласным ключом службы, і sc qc паказвае шлях да бінарнага файла, які запусціць кіраўнік службаў. Параўнайце гэты шлях з захаванай канфігурацыяй абгорткі, перш чым рэдагаваць любы з іх.

Замена абгорткі на скрыпт, які вы кантралюеце, больш інвазіўная, але яна згортвае эфектыўны камандны радок у адзін чытэльны файл. Скончыце перазапускам, затым чытайце журнал па профілі, пакуль не з’явіцца першы паспяховы радок запуску. Стан службы «працуе» азначае толькі, што абгортка не выйшла, што таксама праўда, калі яе дзіця адразу памерла.