OpenVPN usluga ne uspijeva na profilu koji GUI otvara: pet provjera

Dva pokretača otvaraju isti profil na jednom računaru, a povezuje se samo GUI. Datoteka je ispravna i instalater je vjerovatno u redu; razlikuje se kontekst koji svaki pokretač daje openvpn.exe. Radni direktorij, identitet računa i atributi datoteke putuju zajedno s tim kontekstom. Provjerite ih tim redom i zaustavite se na prvom koji objašnjava grešku.

Potvrdite koji pokretač ne uspijeva

Počnite dokazivanjem podjele. Ako se GUI povezuje, a usluga ne, s istom putanjom profila, datoteku neko može čitati i pitanje postaje ko je čita i odakle. Ako oba ne uspiju, profil je oštećen i ništa od ovoga ne važi. Zapišite naziv usluge i tačan profil koji joj je naloženo da učita.

Usluga usmjerena na vlastiti direktorij za automatsko pokretanje možda ne učitava datoteku koju imate otvorenu u editoru. Uporedite putanju u konfiguraciji usluge s putanjom u GUI-ju, znak po znak, jer naziv mape na kraju ili drugo slovo diska dovoljno je da vas odvede na pogrešnu granu.

Gdje se rješavaju relativne putanje

Profil koji upućuje na ca.crt ili pomoćnu skriptu samo po imenu traži pretragu relativno prema mjestu gdje se proces nalazi. GUI počinje u konfiguracijskoj mapi, pa se ta imena rješavaju. Usluga koju pokreće upravitelj usluga nema takvu početnu točku, i pretraga ne uspijeva prije nego što se pročita bilo koji certifikat. Zato isti profil radi u jednom pokretaču, a u drugom ne.

Dajte omotaču direktorij u kojem da počne ili učinite svako upućivanje apsolutnim. Reprodukcija GUI-jevog konteksta na komandnoj liniji izgleda ovako:

openvpn --cd "C:\VPN\profiles\office" --config "C:\VPN\profiles\office\office.ovpn"

Podizanje verbosnosti te komande pokazuje tačnu putanju koja je pokušana. Učinite to prije mijenjanja dozvola, jer datoteka koja nedostaje i odbijeno čitanje traže različite popravke. Zadani dnevnik ih ne razlikuje. Jedan dodatni prekidač štedi sat nagađanja.

Kada identitet usluge ne može čitati

Usluga radi kao sistemski identitet, ne kao vi. ACL koji vašem korisniku daje punu kontrolu i nikome drugom ne uspijeva tamo, dok savršeno radi u vašoj sesiji. Profil koji se drži na mapiranom disku ili autentificiranom dijeljenju ne uspijeva iz istog razloga. Potvrdite dozvole datoteke prije nego što pogledate bilo šta drugo.

Provjera je čitanje efektivnih dozvola plus čitanje pokušano kao identitet usluge. Pokrenite prvi dio iz povišenog komandnog reda:

icacls "C:\VPN\profiles\office\office.ovpn"

Zatim pokušajte isto čitanje kao identitet usluge, na primjer s psexec -s -i iz Sysinternalsa, i gledajte da li se datoteka otvara. Ako ne, nikakva popravka putanje neće pomoći. Popravite ACL ili premjestite profil na lokaciju koju identitet usluge može čitati.

Šifriranje na razini datoteke je drugi, rjeđi slučaj. Profil označen atributom Encrypting File System dešifrira se transparentno za korisnika koji ga je šifrirao i ostaje nečitljiv za račun usluge. Zato se ista datoteka otvara u vašem editoru, a ne pod uslugom.

Atribut je vidljiv iz povišenog komandnog reda, a provjera ga ne otvara profil. Pokrenite obje komande i pročitajte izlaz:

cipher /s:"C:\VPN\profiles\office"
attrib "C:\VPN\profiles\office\office.ovpn"

Uklanjanje atributa čini datoteku čitljivom, ali uklanja i zaštitu koju je nosila. Ako profil mora ostati zaštićen, stavite tajni materijal tamo gdje identitet usluge ima izričito odobrenje umjesto da se oslanjate na šifriranje po korisniku. Takav raspored preživljava promjenu lozinke i čini pristup preglednim za nekoga drugog osim osobe koja je šifrirala datoteku.

Odlučivanje ko posjeduje tunel

GUI može zatražiti lozinku i pročitati certifikat iz vaše korisničke pohrane. Usluga ne može ni jedno ni drugo, pa profil koji zavisi od interaktivne tajne nikada neće početi bez nadzora, bez obzira kako se putanje poprave. To ograničenje je dizajnerska odluka, a ne nedostatak koji treba zaobići. Odaberite jednog vlasnika prije nego što promijenite bilo šta drugo.

Ako tunel mora biti podignut prije prijave, dajte usluzi izvor vjerodajnica bez nadzora i vlastitu kopiju profila. Ako treba postojati samo dok ste za stolom, držite ga u GUI-ju i uklonite kopiju usluge. Oba istovremeno je konfiguracija koja stvara sukobe adaptera i duple rute.

Taj sukob se obično dijagnosticira kao greška u konfiguraciji, a ne kao dva vlasnika koja se bore za jedan adapter. Dnevnik događaja pokazat će jedan proces koji ne uspijeva otvoriti TAP uređaj, što izgleda kao problem s dozvolama, a nije. Prvo prebrojite vlasnike.

Šta omotač usluge zapravo pokreće

Ulazna točka usluge je mali omotač koji čita vlastite pohranjene parametre i zatim pokreće openvpn.exe. Kada se komandna linija u dnevniku događaja ne slaže s vašim očekivanjem, te vrijednosti su ono što treba pregledati. Ponovna instalacija ih vraća na zadane i uništava dokaze. Pročitajte ih prvo.

Vrijednosti žive u registru pod vlastitim ključem usluge, a sc qc pokazuje putanju do binarne datoteke koju će upravitelj usluga pokrenuti. Uporedite tu putanju s pohranjenom konfiguracijom omotača prije nego što uredite bilo koju od njih.

Zamjena omotača skriptom koju kontrolirate invazivnija je, ali sažima efektivnu komandnu liniju u jednu čitljivu datoteku. Završite restartom, zatim čitajte dnevnik po profilu dok se ne pojavi prva uspješna linija pokretanja. Status usluge pokrenuto znači samo da omotač nije izašao, što vrijedi i kada je njegovo dijete odmah umrlo.