Hvers vegna ræsist OpenVPN við innskráningu en ekki við ræsingu Windows?

Göng sem birtast aðeins eftir að einhver skráir sig inn eru venjulega ræst af lotu þess einstaklings, ekki af sjálfvirku þjónustunni. Venjulegi sökudólgurinn er flýtileið í ræsingunni sem ræsir openvpn-gui.exe, og það er ekki bilað uppsetning. Flýtileiðin ræsir skjáborðsforrit inni í notendalotu, með sniði þess notanda, vottveislum hans og getu hans til að svara beiðni. Ekkert af þessu gerir tenginguna óháða innskráðri manneskju, og það er einmitt það sem göng fyrir innskráningu krefjast.

Einkennin hafa venjulega þrjár orsakir

Þrjú mynstur líta eins út að utan og hafa mismunandi lagfæringar. Fyrsta er framkvæmdareigandi sem er notendalota í stað þjónustunnar, sem er tilfelli flýtileiðarinnar. Annað er snið sem býr þar sem þjónustan lítur ekki, svo þjónustan ræsist, finnur ekkert og hættir hreint. Þriðja er snið sem þjónustan finnur og ræsir, en skírteinin þess þurfa samskipti sem engin þjónusta getur veitt.

Að greina hvaða tilfelli á við krefst tveggja lestra: hvað þjónustunni er ætlað að keyra, og hvaða skrár hún sér. Hvort tveggja er ein skipun, og hvorugt truflar virka tengingu.

Hvað sjálfvirk þjónustan les í raun

Sjálfvirk þjónusta Community er umbúðir sem skanna stillta sjálfvirku ræsimöppuna, venjulega config-auto undir uppsetningunni, og ræsa OpenVPN ferli fyrir hvert samsvarandi snið sem hún finnur. Snið sem er sýnilegt í GUI valmynd notanda býr í staðinn undir reikisniði þess notanda, í möppu sem þjónustureikningurinn les ekki. Leiðarvísirinn um Windows þjónustu lýsir þessari uppgötvun, og það er þess virði að lesa hann áður en eitthvað er afritað, því markmappan er eiginleiki uppsetningarinnar en ekki föst venja. Að afrita skrá í möppu GUI breytir því engu fyrir þjónustuna, og að afrita hana í hverja möppu sem heitir config býr til tvírit en ekki lagfæringu.

Get-Service OpenVPNService | Select-Object Status, StartType
Get-CimInstance Win32_Service | Where-Object Name -eq 'OpenVPNService' | Select-Object PathName, StartName
gci 'C:\Program Files\OpenVPN\config-auto'

Síðasta skipunin listar það sem umbúðirnar munu í raun sjá, og það er fljótlegasta leiðin til að staðfesta að snið sé á röngum stað. Önnur línan sýnir líka reikninginn sem þjónustan keyrir undir, og sá reikningur ræður því hvaða skráarslóðir og vottveislur eru aðgengilegar yfirleitt.

Hvers vegna innskráning á skjáborð virkar en ræsing ekki

Árangur á skjáborði getur lengi falið ósjálfstæði á inntaki. GUI getur safnað lykilsetningu, reikningslykilorði eða öðrum þætti í glugga, því það keyrir í gagnvirkri lotu með sýnilegu skjáborði. Þjónusta keyrir í lotu án skjáborðs, svo beiðni um inntak hefur hvergi að birtast, og tengingin mistekst eftir tímanmörk sem líkjast alls ekki vandamáli með skírteini.

Aðgangur að skrám fylgir sömu reglu. Einkalykill sem er geymdur undir sniði notandans, eða vottorð í persónulegu geymslu notandans, er ekki aðgengilegt þjónustu sem keyrir sem vélin. Berðu saman algildar slóðir, heimildir og vottorðsvalið sem hvor aðili gerir í stað þess að gera ráð fyrir að sama sniðsskráin þýði sama umhverfi.

Áætlað verk sem er stillt til að keyra hvort sem notandi er innskráður eða ekki erfir svipaða takmörkun. Það getur ræst keyrsluskrá GUI með árangri og samt framleitt ferli sem fær aldrei skírteini, svo viðvera ferlis í verksstjóranum er ekki sönnun um virk göng.

Veldu einn eiganda og prófaðu raunverulega lífsferilinn

Fyrir tengingu sem tilheyrir innskráðri manneskju skaltu nota studda sjálfvirkri ræsingu GUI og hafa þjónustuna utan við. Fyrir göng sem verða að vera til áður en nokkur skráir sig inn skaltu stillja þjónustuna, setja sniðið þar sem umbúðirnar lesa það, og nota studda skírteinisvirkni án eftirlits, svo sem lykil án gagnvirkrar setningar eða skjalfesta skírteinisskrá.

Get-Content 'C:\Program Files\OpenVPN\log\openvpn.log' -Tail 40
Get-WinEvent -LogName Application -MaxEvents 20 | Where-Object ProviderName -like '*OpenVPN*'

Prófaðu lífsferilinn sem skiptir máli: endurræsing þar sem enginn skráir sig inn, síðan endurtenging eftir netbreytingu. Hafðu einn eiganda fyrir tenginguna, því tvær keppinautar ræsingaraðferðir framleiða venjulega tvö eintök sem berjast um sömu leiðir og sömu þjónlotu, og það er erfiðara að greina en hvora aðferðina eina og sér.