Pam mae OpenVPN yn cychwyn wrth fewngofnodi ond nid wrth gychwyn Windows?

Fel arfer, sesiwn y person hwnnw sy'n cychwyn twneidr sy'n ymddangos dim ond ar ôl i rywun fewngofnodi, nid y gwasanaeth awtomatig. Y troseddwr arferol yw llwybr byr cychwyn sy'n lansio openvpn-gui.exe, ac nid yw hynny'n osodiad wedi torri. Mae'r llwybr byr yn cychwyn ap ar gyfer y bwrdd gwaith y tu mewn i sesiwn defnyddiwr, gyda phroffil y defnyddiwr hwnnw, ei storfeydd tystysgrifau a'i allu i ateb anogwr. Nid oes dim yn hyn yn gwneud y cysylltiad yn annibynnol ar berson sydd wedi mewngofnodi, a dyna'n union y mae twnnel cyn mewngofnodi yn ei ofyn.

Mae gan y symptom fel arfer dri achos

Mae tri phatrwm yn edrych yn debyg o'r tu allan ac mae ganddynt gywiriadau gwahanol. Y cyntaf yw perchennog gweithredu sy'n sesiwn defnyddiwr yn hytrach na'r gwasanaeth, sef achos y llwybr byr cychwyn. Yr ail yw proffil sy'n byw lle nad yw'r gwasanaeth yn edrych, felly mae'r gwasanaeth yn cychwyn, yn dod o hyd i ddim ac yn gadael yn lân. Y trydydd yw proffil y mae'r gwasanaeth yn dod o hyd iddo ac yn ei gychwyn, ond y mae ei fanylion mewngofnodi yn gofyn am ryngweithiad na all unrhyw wasanaeth ei ddarparu.

Mae nodi pa un sy'n berthnasol yn gofyn am ddau ddarlleniad: beth y mae'r gwasanaeth wedi'i ffurfweddu i'w redeg, a pha ffeiliau y gall eu gweld. Mae'r ddau yn un gorchymyn yr un, ac nid oes yr un yn amharu ar gysylltiad sy'n rhedeg.

Beth mae'r gwasanaeth awtomatig yn ei ddarllen mewn gwirionedd

Mae gwasanaeth awtomatig Community yn lapio sy'n sganio ei gyfeiriadur cychwyn awtomatig ffurfweddedig, fel arfer config-auto o dan y gosodiad, ac yn cychwyn proses OpenVPN ar gyfer pob proffil cyfatebol y mae'n dod o hyd iddo. Mae proffil sy'n weladwy ym mhenu GUI defnyddiwr yn byw o dan broffil roaming y defnyddiwr hwnnw yn lle hynny, mewn cyfeiriadur nad yw'r cyfrif gwasanaeth yn ei ddarllen. Mae canllaw gwasanaeth Windows yn disgrifio'r darganfyddiad hwnnw, ac mae'n werth ei ddarllen cyn copïo unrhyw beth, oherwydd bod y cyfeiriadur targed yn briodwedd o'r gosodiad yn hytrach na chonfensiwn sefydlog. Felly nid yw copïo ffeil i ffolder y GUI yn newid dim i'r gwasanaeth, ac mae copïo i bob ffolder o'r enw config yn creu dyblygiadau yn hytrach nag atgyweiriad.

Get-Service OpenVPNService | Select-Object Status, StartType
Get-CimInstance Win32_Service | Where-Object Name -eq 'OpenVPNService' | Select-Object PathName, StartName
gci 'C:\Program Files\OpenVPN\config-auto'

Mae'r gorchymyn olaf yn rhestru'r hyn y bydd y lapio yn ei weld mewn gwirionedd, sef y ffordd gyflymaf i gadarnhau bod proffil yn y lle anghywir. Mae'r ail linell hefyd yn dangos y cyfrif y mae'r gwasanaeth yn rhedeg o dano, ac mae'r cyfrif hwnnw'n penderfynu pa lwybrau ffeiliau a storfeydd tystysgrifau sy'n hygyrch o gwbl.

Pam mae mewngofnodi i'r bwrdd gwaith yn gweithio ond nid cychwyn wrth gychwyn

Gall llwyddiant ar y bwrdd gwaith guddio dibyniaeth ar fewnbwn am amser hir. Gall GUI gasglu ymadrodd cyfrinair allwedd, cyfrinair cyfrif neu ail ffactor mewn deialog, oherwydd ei fod yn rhedeg mewn sesiwn ryngweithiol gyda bwrdd gwaith gweladwy. Mae gwasanaeth yn rhedeg mewn sesiwn heb fwrdd gwaith, felly nid oes lle i gais am fewnbwn ymddangos, ac mae'r cysylltiad yn methu ar ôl terfyn amser nad yw'n edrych o gwbl fel problem manylion mewngofnodi.

Mae mynediad at ffeiliau yn dilyn yr un rheol. Nid yw allwedd breifat a storiwyd o dan broffil y defnyddiwr, neu dystysgrif yn storfa bersonol y defnyddiwr, ar gael i wasanaeth sy'n rhedeg fel y peiriant. Cymharwch lwybrau absoliwt, caniatadau a'r dewis tystysgrif y mae pob ochr yn ei wneud yn hytrach na chymryd yn ganiataol bod yr un ffeil proffil yn golygu'r un amgylchedd.

Mae tasg a drefnwyd i redeg p'un a yw defnyddiwr wedi mewngofnodi ai peidio yn etifeddu cyfyngiad tebyg. Gall gychwyn ffeil weithredadwy'r GUI yn llwyddiannus ac eto gynhyrchu proses nad yw byth yn cael manylion mewngofnodi, felly nid yw presenoldeb proses yn y rheolwr tasgau yn dystiolaeth o dwnnel sy'n gweithio.

Dewiswch un perchennog a phrofwch y cylch bywyd go iawn

Ar gyfer cysylltiad sy'n perthyn i berson sydd wedi mewngofnodi, defnyddiwch ymddygiad cychwyn awtomatig â chymorth y GUI a gadewch y gwasanaeth allan ohono. Ar gyfer twnnel y mae'n rhaid iddo fodoli cyn i unrhyw un fewngofnodi, ffurfweddwch y gwasanaeth, rhowch y proffil lle mae'r lapio yn ei ddarllen, a defnyddiwch fecanwaith manylion mewngofnodi heb oruchwyliaeth â chymorth, fel allwedd heb ymadrodd cyfrinair rhyngweithiol neu ffeil manylion mewngofnodi wedi'i dogfennu.

Get-Content 'C:\Program Files\OpenVPN\log\openvpn.log' -Tail 40
Get-WinEvent -LogName Application -MaxEvents 20 | Where-Object ProviderName -like '*OpenVPN*'

Profwch y cylch bywyd sy'n bwysig: ailgychwyn heb i neb fewngofnodi, yna ailgysylltu ar ôl newid rhwydwaith. Cadwch un perchennog ar gyfer y cysylltiad, oherwydd mae dau fecanwaith cychwyn cystadleuol fel arfer yn cynhyrchu dau achos yn ymladd dros yr un llwybrau a'r un sesiwn gweinydd, sy'n anoddach ei ddiagnosio na'r naill fecanwaith ar ei ben ei hun.