OpenVPN-i teenus ebaõnnestub profiiliga, mille GUI avab: viis kontrolli

Kaks käivitajat avavad samal masinal sama profiili ja ainult GUI ühendub. Fail on terve ja paigaldaja on tõenäoliselt korras; erineb kontekst, mille kumbki käivitaja openvpn.exe-le annab. Töökataloog, konto identiteet ja faili atribuudid liiguvad kõik selle kontekstiga kaasas. Kontrollige neid selles järjekorras ja peatuge esimese juures, mis vea ära seletab.

Tehke kindlaks, milline käivitaja ebaõnnestub

Alustage lõhe tõestamisest. Kui GUI ühendub ja teenus mitte, sama profiili teega, on fail kellelegi loetav ja küsimuseks saab, kes seda loeb ja kust. Kui mõlemad ebaõnnestuvad, on profiil katki ja miski siit ei kehti. Kirjutage üles teenuse nimi ja täpne profiil, mille laadimist sellele anti.

Oma autostart-kataloogile osutatud teenus ei pruugi laadida faili, mis teil redaktoris avatud on. Võrrelge teenuse konfiguratsioonis olevat teed GUI teega märk märgi haaval, sest lõpus olev kausta nimi või teine kettatäht on piisav, et suunata teid valele harule.

Kus suhtelised teed lahendatakse

Profiil, mis viitab ca.crt-le või abiskriptile ainult nime järgi, nõuab otsingut protsessi asukoha suhtes. GUI algab konfiguratsioonikaustas, seega need nimed lahendatakse. Teenusehalduri käivitatud teenusel sellist alguspunkti ei ole ja otsing ebaõnnestub enne, kui ükski sertifikaat loetakse. Seetõttu töötab sama profiil ühes käivitajas ja mitte teises.

Andke mähisele kataloog, kust alustada, või tehke iga viide absoluutseks. GUI konteksti käsureal taasesitamine näeb välja nii:

openvpn --cd "C:\VPN\profiles\office" --config "C:\VPN\profiles\office\office.ovpn"

Selle käsu detailsuse tõstmine näitab täpset teed, mida prooviti. Tehke seda enne õiguste muutmist, sest puuduv fail ja keeldutud lugemine vajavad erinevaid parandusi. Vaikimisi logi neid ei erista. Üks lisalipp säästab tunni oletusi.

Kui teenuse identiteet ei saa lugeda

Teenus töötab süsteemi identiteedina, mitte teiena. ACL, mis annab teie kasutajale täieliku kontrolli ja mitte kellelegi teisele, ebaõnnestub seal, samal ajal kui teie seansis töötab see laitmatult. Võrgukettale või autenditud jagamisele paigutatud profiil ebaõnnestub samal põhjusel. Kinnitage faili õigused enne, kui vaatate midagi muud.

Kontroll on tõhusate õiguste lugemine pluss lugemine, mida proovitakse teenuse identiteedina. Käivitage esimene osa kõrgendatud käsurealt:

icacls "C:\VPN\profiles\office\office.ovpn"

Seejärel proovige sama lugemist teenuse identiteedina, näiteks Sysinternalsi psexec -s -i-ga, ja jälgige, kas fail avaneb. Kui ei avane, ei aita ükski tee parandus. Parandage ACL või viige profiil kohta, kust teenuse identiteet saab lugeda.

Failitasandi krüpteerimine on teine, harvem juht. Encrypting File Systemi atribuudiga märgitud profiil dekrüpteeritakse läbipaistvalt selle kasutaja jaoks, kes selle krüpteeris, ja jääb teenusekontole loetamatuks. Seetõttu avaneb sama fail teie redaktoris ja mitte teenuse all.

Atribuut on nähtav kõrgendatud käsurealt ja selle kontrollimine ei ava profiili. Käivitage mõlemad käsud ja lugege väljundit:

cipher /s:"C:\VPN\profiles\office"
attrib "C:\VPN\profiles\office\office.ovpn"

Atribuudi eemaldamine muudab faili loetavaks ja eemaldab ka kaitse, mida see kandis. Kui profiil peab jääma kaitstuks, pange salajane materjal sinna, kus teenuse identiteedil on selgesõnaline luba, selle asemel et loota kasutajapõhisele krüpteerimisele. Selline korraldus elab üle paroolimuudatuse ja teeb juurdepääsu ülevaatamiseks kättesaadavaks kellelegi teisele kui faili krüpteerinud isikule.

Otsustamine, kellele tunnel kuulub

GUI saab küsida parooli ja lugeda sertifikaati teie kasutajahoidlast. Teenus ei saa kumbagi, seega interaktiivsest saladusest sõltuv profiil ei käivitu kunagi järelevalveta, ükskõik kuidas teid parandatakse. See piir on disainiotsus, mitte viga, millest mööda minna. Valige üks omanik enne, kui muudate midagi muud.

Kui tunnel peab olema üleval enne sisselogimist, andke teenusele järelevalveta volituste allikas ja oma koopia profiilist. Kui see peab olemas olema ainult siis, kui olete laua ääres, hoidke seda GUI-s ja eemaldage teenuse koopia. Mõlemad korraga on konfiguratsioon, mis tekitab adapterikonflikte ja duplikaatmarsruute.

Seda konflikti diagnoositakse tavaliselt konfiguratsiooniveana, mitte kahe omanikuna, kes ühe adapteri pärast võitlevad. Sündmustelogi näitab protsessi, mis ei suuda TAP-seadet avada, mis näeb välja nagu õiguste probleem, aga ei ole. Loendage kõigepealt omanikud.

Mida teenuse mähis tegelikult käivitab

Teenuse sisendpunkt on väike mähis, mis loeb oma salvestatud parameetrid ja käivitab seejärel openvpn.exe. Kui sündmustelogi käsurida teie ootusega ei klapi, tuleb uurida just neid väärtusi. Ümberpaigaldamine lähtestab need vaikeväärtusteks ja hävitab tõendid. Lugege neid esimesena.

Väärtused elavad registris teenuse enda võtme all ja sc qc näitab binaarfaili teed, mille teenusehaldur käivitab. Võrrelge seda teed mähise salvestatud konfiguratsiooniga enne, kui muudate kumbagi.

Mähise asendamine skriptiga, mida te kontrollite, on pealetükkivam, kuid see voltib tegeliku käsurea ühte loetavasse faili. Lõpetage taaskäivitusega, seejärel lugege profiilipõhist logi, kuni ilmub esimene edukas käivitusrida. Teenuse olek töötab tähendab vaid, et mähis ei ole väljunud, mis kehtib ka siis, kui selle laps suri kohe.