Az OpenVPN szolgáltatás meghiúsul egy profilon, amelyet a GUI megnyit: öt ellenőrzés

Két indító nyitja meg ugyanazt a profilt egy gépen, és csak a GUI csatlakozik. A fájl sértetlen, és a telepítő valószínűleg rendben van; ami eltér, az a kontextus, amelyet az egyes indítók a openvpn.exe-nak adnak. A munkakönyvtár, a fiók identitása és a fájlattribútumok mind ezzel a kontextussal utaznak. Ebben a sorrendben ellenőrizze őket, és álljon meg az elsőnél, amely megmagyarázza a hibát.

Erősítse meg, melyik indító hibázik

Kezdje a szétválás bizonyításával. Ha a GUI csatlakozik, a szolgáltatás pedig nem, ugyanazzal a profilúttal, akkor a fájl valaki számára olvasható, és a kérdés az lesz, ki olvassa és honnan. Ha mindkettő meghiúsul, a profil sérült, és semmi ebből nem érvényes. Jegyezze fel a szolgáltatás nevét és a pontos profilt, amelyet be kellett töltenie.

Előfordulhat, hogy a saját automatikus indítási könyvtárára mutató szolgáltatás nem azt a fájlt tölti be, amelyet szerkesztőben megnyitott. Hasonlítsa össze a szolgáltatás konfigurációjában lévő útvonalat a GUI-ban lévő útvonallal, karakterről karakterre, mert egy záró mappanév vagy egy másik meghajtóbetű is elég ahhoz, hogy a rossz ágra terelje.

Hol oldódnak fel a relatív útvonalak

Az a profil, amely csak névvel hivatkozik a ca.crt-re vagy egy segédszkriptre, a folyamat tartózkodási helyéhez viszonyított keresést kér. A GUI a konfigurációs mappában indul, ezért azok a nevek feloldódnak. A szolgáltatáskezelő által indított szolgáltatásnak nincs ilyen kiindulópontja, és a keresés még azelőtt meghiúsul, hogy bármilyen tanúsítványt beolvasna. Ezért működik ugyanaz a profil az egyik indítóban, és nem a másikban.

Adjon a burkolónak egy könyvtárat, ahonnan indulhat, vagy tegyen minden hivatkozást abszolúttá. A GUI kontextusának parancssori újraalkotása így néz ki:

openvpn --cd "C:\VPN\profiles\office" --config "C:\VPN\profiles\office\office.ovpn"

A részletesség növelése ezen a parancson megmutatja a pontosan megkísérelt útvonalat. Ezt az engedélyek módosítása előtt tegye meg, mert a hiányzó fájl és a megtagadott olvasás különböző javításokat igényel. Az alapértelmezett napló nem különbözteti meg őket. Egyetlen extra kapcsoló egy órányi találgatást takarít meg.

Amikor a szolgáltatás identitása nem tud olvasni

A szolgáltatás rendszeridentitásként fut, nem önként. Az az ACL, amely a felhasználójának teljes irányítást ad, másnak pedig semmit, ott meghiúsul, miközben az ön munkamenetében tökéletesen működik. A leképezett meghajtón vagy hitelesített megosztáson tartott profil ugyanezen okból hiúsul meg. Erősítse meg a fájl engedélyeit, mielőtt bármi másra nézne.

Az ellenőrzés a tényleges engedélyek olvasása, valamint egy olvasás, amelyet a szolgáltatás identitásaként kísérelnek meg. Futtassa az első részt emelt szintű parancssorból:

icacls "C:\VPN\profiles\office\office.ovpn"

Ezután kísérelje meg ugyanazt az olvasást a szolgáltatás identitásaként, például a Sysinternals psexec -s -i eszközével, és figyelje, megnyílik-e a fájl. Ha nem, egyetlen útvonal-javítás sem segít. Javítsa az ACL-t, vagy helyezze át a profilt olyan helyre, ahonnan a szolgáltatás identitása olvasni tud.

A fájlszintű titkosítás a második, ritkább eset. Az Encrypting File System attribútummal jelölt profil átlátszóan visszafejtődik annak a felhasználónak, aki titkosította, és olvashatatlan marad a szolgáltatásfiók számára. Ezért nyílik meg ugyanaz a fájl a szerkesztőjében, és nem a szolgáltatás alatt.

Az attribútum emelt szintű parancssorból látható, és az ellenőrzése nem nyitja meg a profilt. Futtassa mindkét parancsot, és olvassa el a kimenetet:

cipher /s:"C:\VPN\profiles\office"
attrib "C:\VPN\profiles\office\office.ovpn"

Az attribútum törlése olvashatóvá teszi a fájlt, és eltávolítja az általa hordozott védelmet is. Ha a profilnak védettnek kell maradnia, a titkos anyagot olyan helyre tegye, ahol a szolgáltatás identitásának kifejezett engedélye van, ahelyett hogy felhasználónkénti titkosításra támaszkodna. Egy ilyen elrendezés túléli a jelszóváltást, és hozzáférhetővé teszi a hozzáférést egy másik ember számára, mint aki a fájlt titkosította.

Annak eldöntése, kié az alagút

A GUI kérhet jelszót, és olvashat tanúsítványt a felhasználói tárolójából. A szolgáltatás egyiket sem tudja, ezért az interaktív titoktól függő profil soha nem indul felügyelet nélkül, akárhogyan is javítják az útvonalakat. Ez a korlát tervezési döntés, nem kikerülendő hiba. Válasszon egyetlen tulajdonost, mielőtt bármi mást megváltoztat.

Ha az alagútnak bejelentkezés előtt fenn kell állnia, adjon a szolgáltatásnak felügyelet nélküli hitelesítőadat-forrást és saját másolatot a profilból. Ha csak akkor kell léteznie, amíg az asztalnál ül, tartsa a GUI-ban, és távolítsa el a szolgáltatás másolatát. Mindkettő egyszerre az a konfiguráció, amely adapterütközéseket és duplikált útvonalakat eredményez.

Ezt az ütközést általában konfigurációs hibaként diagnosztizálják, nem pedig két tulajdonosként, akik egy adapterért harcolnak. Az eseménynapló megmutatja, hogy az egyik folyamat nem tudja megnyitni a TAP-eszközt, ami engedélyproblémának tűnik, de nem az. Először számolja meg a tulajdonosokat.

Mit indít valójában a szolgáltatásburkoló

A szolgáltatás belépési pontja egy kis burkoló, amely beolvassa a saját tárolt paramétereit, majd elindítja a openvpn.exe-ot. Amikor az eseménynaplóban lévő parancssor nem egyezik az elvárásával, azokat az értékeket kell megvizsgálni. Az újratelepítés visszaállítja őket az alapértelmezettre, és megsemmisíti a bizonyítékokat. Először olvassa el őket.

Az értékek a rendszerleíró adatbázisban, a szolgáltatás saját kulcsa alatt élnek, és a sc qc megmutatja a bináris útvonalat, amelyet a szolgáltatáskezelő indítani fog. Hasonlítsa össze ezt az útvonalat a burkoló tárolt konfigurációjával, mielőtt bármelyiket szerkesztené.

A burkoló saját irányítású szkripttel való helyettesítése invazívabb, de a tényleges parancssort egyetlen olvasható fájlba hajtja össze. Fejezze be újraindítással, majd olvassa a profilonkénti naplót, amíg meg nem jelenik az első sikeres indítási sor. A szolgáltatás fut állapota csak azt jelenti, hogy a burkoló nem lépett ki, ami akkor is igaz, ha a gyermeke azonnal meghalt.