La OpenVPN-servo malsukcesas ĉe profilo, kiun malfermas la GUI: kvin kontroloj

Du lanĉiloj malfermas la saman profilon sur unu maŝino, kaj nur la GUI konektiĝas. La dosiero estas sendifekta kaj la instalilo verŝajne bonas; kio diferencas estas la kunteksto, kiun ĉiu lanĉilo donas al openvpn.exe. La labora dosierujo, la konto-identeco kaj la dosieraj atributoj ĉiuj vojaĝas kun tiu kunteksto. Kontrolu ilin laŭ tiu ordo kaj haltu ĉe la unua, kiu klarigas la eraron.

Konfirmu, kiu lanĉilo malsukcesas

Komencu pruvante la dividon. Se la GUI konektiĝas kaj la servo ne, kun la sama profilovojo, la dosiero estas legebla de iu kaj la demando fariĝas, kiu legas ĝin kaj de kie. Se ambaŭ malsukcesas, la profilo estas difektita kaj nenio el tio validas. Notu la servan nomon kaj la ĝustan profilon, kiun ĝi estis petita ŝargi.

Servo direktita al sia propra aŭtomata starta dosierujo eble ne ŝargas la dosieron, kiun vi havas malfermita en redaktilo. Komparu la vojon en la serva agordo kun la vojo en la GUI, signon post signo, ĉar fina dosieruja nomo aŭ alia diska litero sufiĉas por sendi vin al la malĝusta branĉo.

Kie relativaj vojoj solviĝas

Profilo, kiu referencas ca.crt aŭ helpan skripton nur per nuda nomo, postulas serĉon rilate al tio, kie la procezo troviĝas. La GUI komenciĝas en la agorda dosierujo, do tiuj nomoj solviĝas. Servo startigita de la servoadministrilo ne havas tian komencan punkton, kaj la serĉo malsukcesas antaŭ ol iu ajn atestilo estas legita. Tial la sama profilo funkcias en unu lanĉilo kaj ne en la alia.

Donu al la ĉirkaŭvolvaĵo dosierujon por komenci, aŭ faru ĉiun referencon absoluta. Reprodukti la kuntekston de la GUI sur komanda linio aspektas tiel:

openvpn --cd "C:\VPN\profiles\office" --config "C:\VPN\profiles\office\office.ovpn"

Pliigi la detalecon de tiu komando montras la ĝustan vojon, kiun oni provis. Faru tion antaŭ ol ŝanĝi permesojn, ĉar mankanta dosiero kaj rifuzita legado bezonas malsamajn korektojn. La defaŭlta protokolo ne distingas ilin. Unu plia flago ŝparas horon da divenado.

Kiam la serva identeco ne povas legi

Servo ruliĝas kiel sistema identeco, ne kiel vi. ACL, kiu donas plenan regadon al via uzanto kaj al neniu alia, malsukcesas tie, dum ĝi perfekte funkcias en via sesio. Profilo tenata sur mapita disko aŭ aŭtentikigita kundivido malsukcesas pro la sama kialo. Konfirmu la permesojn de la dosiero antaŭ ol rigardi ion alian.

La kontrolo estas legado de la efektivaj permesoj plus legado provata kiel la serva identeco. Rulu la unuan parton el altigita komandlinio:

icacls "C:\VPN\profiles\office\office.ovpn"

Poste provu la saman legadon kiel la serva identeco, ekzemple per psexec -s -i de Sysinternals, kaj observu, ĉu la dosiero malfermiĝas. Se ne, neniu voja korekto helpos. Korektu la ACL aŭ movu la profilon al loko, kiun la serva identeco povas legi.

Dosiernivela ĉifrado estas la dua, pli malofta kazo. Profilo markita per la atributo Encrypting File System malĉifriĝas travideble por la uzanto, kiu ĉifris ĝin, kaj restas nelegebla por serva konto. Tial la sama dosiero malfermiĝas en via redaktilo kaj ne sub la servo.

La atributo videblas el altigita komandlinio, kaj kontroli ĝin ne malfermas la profilon. Rulu ambaŭ komandojn kaj legu la eligon:

cipher /s:"C:\VPN\profiles\office"
attrib "C:\VPN\profiles\office\office.ovpn"

Forigi la atributon faras la dosieron legebla, kaj ĝi ankaŭ forigas la protekton, kiun ĝi portis. Se la profilo devas resti protektita, metu la sekretan materialon tie, kie la serva identeco havas eksplicitan permeson, anstataŭ fidi je ĉifrado por unuopa uzanto. Tia aranĝo postvivas pasvortan ŝanĝon, kaj ĝi igas la aliron revidebla de iu alia ol la persono, kiu ĉifris la dosieron.

Decidi, kiu posedas la tunelon

La GUI povas peti pasvorton kaj povas legi atestilon el via uzanta konservejo. La servo povas nek unu nek alian, do profilo dependa de interaga sekreto neniam startos senprizorge, kiel ajn la vojoj korektiĝos. Tiu limo estas dezajna decido, ne difekto por ĉirkaŭiri. Elektu unu posedanton antaŭ ol ŝanĝi ion alian.

Se la tunelo devas esti supren antaŭ ensaluto, donu al la servo senprizorgan akreditaĵan fonton kaj sian propran kopion de la profilo. Se ĝi nur devas ekzisti dum vi estas ĉe la skribotablo, tenu ĝin en la GUI kaj forigu la servan kopion. Ambaŭ samtempe estas la agordo, kiu produktas adaptilajn konfliktojn kaj duoblajn vojojn.

Tiu konflikto kutime diagnoziĝas kiel agorda eraro anstataŭ kiel du posedantoj luktantaj pri unu adaptilo. La eventa protokolo montros unu procezon malsukcesantan malfermi la TAP-aparaton, kio aspektas kiel permesa problemo kaj ne estas. Nomu la posedantojn unue.

Kion la serva ĉirkaŭvolvaĵo fakte lanĉas

La enirpunkto de la servo estas malgranda ĉirkaŭvolvaĵo, kiu legas siajn proprajn konservitajn parametrojn kaj poste startas openvpn.exe. Kiam la komanda linio en la eventa protokolo malkongruas kun via atendo, tiuj valoroj estas la afero por inspekti. Reinstalo resetas ilin al defaŭltoj kaj detruas la pruvojn. Legu ilin unue.

La valoroj loĝas en la registro sub la propra ŝlosilo de la servo, kaj sc qc montras la dunombran vojon, kiun la servoadministrilo lanĉos. Komparu tiun vojon kun la konservita agordo de la ĉirkaŭvolvaĵo antaŭ ol redakti iun ajn el ili.

Anstataŭigi la ĉirkaŭvolvaĵon per skripto, kiun vi regas, estas pli invada, sed ĝi faldas la efektivan komandan linion en unu legeblan dosieron. Finu per restarto, poste legu la protokolon por profilo ĝis la unua sukcesa startlinio aperas. Serva stato de kuranta nur signifas, ke la ĉirkaŭvolvaĵo ne eliris, kio ankaŭ veras, kiam ĝia ido mortis tuj.