OpenVPN-palvelu epäonnistuu profiilissa, jonka GUI avaa: viisi tarkistusta

Kaksi käynnistintä avaa saman profiilin yhdellä koneella, ja vain GUI yhdistää. Tiedosto on ehjä ja asentaja on luultavasti kunnossa; ero on siinä kontekstissa, jonka kukin käynnistin antaa openvpn.exe-ohjelmalle. Työhakemisto, tilin identiteetti ja tiedoston attribuutit kulkevat kaikki tuon kontekstin mukana. Tarkista ne tässä järjestyksessä ja pysähdy ensimmäiseen, joka selittää virheen.

Varmista, kumpi käynnistin epäonnistuu

Aloita todistamalla jako. Jos GUI yhdistää ja palvelu ei, samalla profiilipolulla, tiedosto on jonkun luettavissa ja kysymykseksi tulee, kuka sitä lukee ja mistä. Jos molemmat epäonnistuvat, profiili on rikki eikä mikään tästä päde. Kirjoita muistiin palvelun nimi ja täsmällinen profiili, joka sen käskettiin ladata.

Omaan automaattisen käynnistyksen hakemistoonsa osoitettu palvelu ei ehkä lataa tiedostoa, joka sinulla on auki editorissa. Vertaa palvelun kokoonpanon polkua GUI:n polkuun merkki merkiltä, sillä lopussa oleva kansion nimi tai eri asemakirjain riittää viemään sinut väärään haaraan.

Missä suhteelliset polut ratkaistaan

Profiili, joka viittaa ca.crt-tiedostoon tai apuskriptiin pelkällä nimellä, vaatii haun suhteessa siihen, missä prosessi sattuu olemaan. GUI käynnistyy kokoonpanokansiossa, joten ne nimet ratkeavat. Palvelunhallinnan käynnistämällä palvelulla ei ole sellaista aloituspistettä, ja haku epäonnistuu ennen kuin yhtään varmennetta luetaan. Siksi sama profiili toimii toisessa käynnistimessä eikä toisessa.

Anna kääreelle hakemisto, josta aloittaa, tai tee jokaisesta viittauksesta absoluuttinen. GUI:n kontekstin toistaminen komentorivillä näyttää tältä:

openvpn --cd "C:\VPN\profiles\office" --config "C:\VPN\profiles\office\office.ovpn"

Kyseisen komennon yksityiskohtaisuuden lisääminen näyttää täsmällisen polun, jota yritettiin. Tee se ennen käyttöoikeuksien muuttamista, koska puuttuva tiedosto ja evätty luku tarvitsevat erilaiset korjaukset. Oletusloki ei erota niitä. Yksi ylimääräinen valitsin säästää tunnin arvailua.

Kun palvelun identiteetti ei voi lukea

Palvelu toimii järjestelmän identiteettinä, ei sinuna. ACL, joka antaa käyttäjällesi täyden hallinnan eikä kenellekään muulle, epäonnistuu siellä, vaikka toimii täydellisesti istunnossasi. Yhdistetyllä asemalla tai todennetulla jaolla pidettävä profiili epäonnistuu samasta syystä. Vahvista tiedoston käyttöoikeudet ennen kuin katsot mitään muuta.

Tarkistus on tehokkaiden käyttöoikeuksien lukeminen sekä palvelun identiteettinä yritettävä lukeminen. Suorita ensimmäinen osa korotetusta komentokehotteesta:

icacls "C:\VPN\profiles\office\office.ovpn"

Yritä sitten samaa lukemista palvelun identiteettinä, esimerkiksi Sysinternalsin psexec -s -i-työkalulla, ja katso, avautuuko tiedosto. Jos ei, mikään polun korjaus ei auta. Korjaa ACL tai siirrä profiili paikkaan, josta palvelun identiteetti voi lukea.

Tiedostotason salaus on toinen, harvinaisempi tapaus. Encrypting File System -attribuutilla merkitty profiili puretaan läpinäkyvästi sen käyttäjän osalta, joka sen salasi, ja jää lukukelvottomaksi palvelutilille. Siksi sama tiedosto avautuu editorissasi eikä palvelun alla.

Attribuutti näkyy korotetusta komentokehotteesta, eikä sen tarkistaminen avaa profiilia. Suorita molemmat komennot ja lue tuloste:

cipher /s:"C:\VPN\profiles\office"
attrib "C:\VPN\profiles\office\office.ovpn"

Attribuutin poistaminen tekee tiedostosta luettavan, ja se poistaa myös suojan, jonka se kantoi. Jos profiilin on pysyttävä suojattuna, sijoita salainen materiaali sinne, missä palvelun identiteetillä on nimenomainen myönnös, sen sijaan että luottaisit käyttäjäkohtaiseen salaukseen. Sellainen järjestely kestää salasanan vaihdon, ja se tekee käytöstä tarkistettavan jollekulle muulle kuin tiedoston salanneelle henkilölle.

Kuka omistaa tunnelin

GUI voi kysyä salasanaa ja lukea varmenteen käyttäjäsäilöstäsi. Palvelu ei voi kumpaakaan, joten vuorovaikutteisesta salaisuudesta riippuva profiili ei koskaan käynnisty valvomatta, riippumatta siitä, miten polut korjataan. Tämä raja on suunnittelupäätös, ei vika, joka pitäisi kiertää. Valitse yksi omistaja ennen kuin muutat mitään muuta.

Jos tunnelin on oltava pystyssä ennen kirjautumista, anna palvelulle valvomaton tunnistetietolähde ja oma kopio profiilista. Jos sen tarvitsee olla olemassa vain ollessasi työpöydällä, pidä se GUI:ssa ja poista palvelun kopio. Molemmat yhtä aikaa on se kokoonpano, joka tuottaa sovitinkonfliktit ja päällekkäiset reitit.

Tuo konflikti diagnosoidaan yleensä kokoonpanovirheeksi eikä kahdeksi omistajaksi, jotka taistelevat yhdestä sovittimesta. Tapahtumaloki näyttää prosessin, joka ei saa TAP-laitetta auki, mikä näyttää käyttöoikeusongelmalta eikä ole sitä. Laske omistajat ensin.

Mitä palvelun kääre oikeastaan käynnistää

Palvelun aloituspiste on pieni kääre, joka lukee omat tallennetut parametrinsa ja käynnistää sitten openvpn.exe. Kun tapahtumalokin komentorivi ei vastaa odotustasi, juuri ne arvot ovat tarkistettava asia. Uudelleenasennus palauttaa ne oletusarvoihin ja tuhoaa todisteet. Lue ne ensin.

Arvot elävät rekisterissä palvelun oman avaimen alla, ja sc qc näyttää binääripolun, jonka palvelunhallinta käynnistää. Vertaa tuota polkua kääreen tallennettuun kokoonpanoon ennen kuin muokkaat kumpaakaan.

Kääreen korvaaminen itse hallitsemallasi skriptillä on tunkeilevampaa, mutta se taittaa tehokkaan komentorivin yhteen luettavaan tiedostoon. Lopeta uudelleenkäynnistykseen ja lue sitten profiilikohtaista lokia, kunnes ensimmäinen onnistunut käynnistysrivi ilmestyy. Palvelun tila käynnissä tarkoittaa vain, että kääre ei ole poistunut, mikä pitää paikkansa myös silloin, kun sen lapsi kuoli heti.