OpenVPN қызметі GUI ашатын профильде істен шығады: бес тексеру

Екі іске қосқыш бір машинада бір профильді ашады, ал тек GUI ғана қосылады. Файл бүтін, орнатушы да дұрыс болуы мүмкін; айырмашылық — әр іске қосқыштың openvpn.exe-ге беретін контексті. Жұмыс каталогы, тіркелгі идентитеті және файл атрибуттары осы контекспен бірге жүреді. Оларды осы тәртіппен тексеріп, қатені түсіндіретін біріншісінде тоқтаңыз.

Қай іске қосқыш сәтсіздікке ұшырайтынын растаңыз

Бөлінуді дәлелдеуден бастаңыз. Егер GUI қосылып, қызмет қосылмаса, сол профиль жолымен, файлды біреу оқи алады және сұрақ оны кім және қайдан оқиды дегенге айналады. Екеуі де сәтсіз болса, профиль бүлінген және мұның ешқайсысы қатысы жоқ. Қызметтің атын және оған жүктеу бұйырылған нақты профильді жазып алыңыз.

Өзінің автозапуск каталогына бағытталған қызмет редакторда ашық файлды жүктемейтіні мүмкін. Қызмет конфигурациясындағы жолды GUI-дегі жолмен таңба-таңба салыстырыңыз, өйткені соңындағы қалта атауы немесе басқа дискі әрпі сізді дұрыс емес тармаққа жіберуге жеткілікті.

Салыстырмалы жолдар қайда шешіледі

ca.crt немесе көмекші скриптке тек атымен сілтейтін профиль процестің орналасқан жеріне қатысты іздеуді талап етеді. GUI конфигурация қалтасында басталады, сондықтан бұл атаулар шешіледі. Қызмет менеджері іске қосқан қызметте мұндай бастапқы нүкте жоқ, және іздеу кез келген сертификат оқылмай тұрып сәтсіз аяқталады. Сондықтан бір профиль бір іске қосқышта жұмыс істеп, екіншісінде істемейді.

Қаптамаға бастау үшін каталог беріңіз немесе әр сілтемені абсолютті етіңіз. GUI контекстін команда жолында қайта жасау былай көрінеді:

openvpn --cd "C:\VPN\profiles\office" --config "C:\VPN\profiles\office\office.ovpn"

Сол команданың егжей-тегжейлілігін арттыру талпынылған нақты жолды көрсетеді. Мұны рұқсаттарды өзгертуден бұрын жасаңыз, өйткені жоғалған файл мен қабылданбаған оқу әртүрлі түзетулерді қажет етеді. Әдепкі журнал оларды ажыратпайды. Бір қосымша жалауша бір сағаттық болжамды үнемдейді.

Қызметтің идентитеті оқи алмағанда

Қызмет сіз сияқты емес, жүйелік идентитет ретінде жұмыс істейді. Сіздің пайдаланушыңызға толық бақылау беріп, басқа ешкімге бермейтін ACL сіздің сессияңызда тамаша жұмыс істегенімен, онда сәтсіз болады. Салыстырылған дискіде немесе аутентификацияланған ортақ ресурста сақталған профиль де сол себептен сәтсіз болады. Басқа нәрсеге қарамас бұрын файлдың рұқсаттарын растаңыз.

Тексеру — тиімді рұқсаттарды оқу және қызметтің идентитеті ретінде талпынылған оқу. Бірінші бөлігін көтеріңкі команда жолынан орындаңыз:

icacls "C:\VPN\profiles\office\office.ovpn"

Содан кейін сол оқуды қызметтің идентитеті ретінде талпыныңыз, мысалы Sysinternals-тің psexec -s -i арқылы, және файл ашыла ма, байқаңыз. Егер ашылмаса, ешбір жол түзетуі көмектеспейді. ACL-ді түзетіңіз немесе профильді қызметтің идентитеті оқи алатын жерге көшіріңіз.

Файл деңгейіндегі шифрлау — екінші, сирек кездесетін жағдай. Encrypting File System атрибутымен белгіленген профиль оны шифрлаған пайдаланушы үшін ашық түрде шифрсыздандырылады және қызметтік тіркелгі үшін оқылмайды. Сондықтан сол файл сіздің редакторыңызда ашылып, қызмет астында ашылмайды.

Атрибут көтеріңкі команда жолынан көрінеді және оны тексеру профильді ашпайды. Екі команданы да орындап, шығысты оқыңыз:

cipher /s:"C:\VPN\profiles\office"
attrib "C:\VPN\profiles\office\office.ovpn"

Атрибутты жою файлды оқылатын етеді және ол өзі тасыған қорғанысты да алып тастайды. Егер профиль қорғалған күйде қалуы керек болса, құпия материалды пайдаланушы бойынша шифрлауға сүйенудің орнына қызметтің идентитетіне айқын рұқсат берілген жерге қойыңыз. Мұндай реттеу құпия сөз ауысқанда да сақталады және қатынасты файлды шифрлаған адамнан басқа біреуге тексеруге мүмкіндік береді.

Туннельдің иесін анықтау

GUI құпия сөз сұрай алады және пайдаланушы қоймаңыздан сертификат оқи алады. Қызмет екеуін де істей алмайды, сондықтан интерактивті құпияға тәуелді профиль жолдар қалай түзетілсе де, қадағалаусыз ешқашан іске қосылмайды. Бұл шектеу — дизайн шешімі, айналып өтуге болатын ақау емес. Басқа нәрсені өзгертуден бұрын бір иесін таңдаңыз.

Егер туннель жүйеге кіруге дейін істеуі керек болса, қызметке қадағалаусыз тіркелгі деректерінің көзін және профильдің өзіндік көшірмесін беріңіз. Егер ол тек сіз үстелде отырғанда ғана болса жеткілікті болса, оны GUI-де ұстап, қызмет көшірмесін жойыңыз. Екеуі бірге — адаптер қақтығыстары мен қайталанатын маршруттарды тудыратын конфигурация.

Мұндай қақтығыс әдетте бір адаптер үшін таласатын екі ие ретінде емес, конфигурация қатесі ретінде анықталады. Оқиғалар журналы бір процестің TAP құрылғысын аша алмағанын көрсетеді, бұл рұқсат мәселесіне ұқсайды және олай емес. Алдымен иелерді санаңыз.

Қызмет қаптамасы шын мәнінде нені іске қосады

Қызметтің кіру нүктесі — өзінің сақталған параметрлерін оқып, содан кейін openvpn.exe-ді іске қосатын шағын қаптама. Оқиғалар журналындағы команда жолы сіздің күтуіңізге сай келмесе, дәл сол мәндерді тексеру керек. Қайта орнату оларды әдепкіге қайтарады және дәлелдерді жояды. Алдымен оларды оқыңыз.

Мәндер тізілімде қызметтің өз кілтінің астында тұрады және sc qc қызмет менеджері іске қосатын бинарлық жолды көрсетеді. Олардың кез келгенін өңдеу алдында сол жолды қаптаманың сақталған конфигурациясымен салыстырыңыз.

Қаптаманы өзіңіз бақылайтын скриптпен алмастыру неғұрлым инвазивті, бірақ ол тиімді команда жолын бір оқылатын файлға жинайды. Қайта жүктеумен аяқтаңыз, содан кейін бірінші сәтті іске қосылу жолы пайда болғанша профиль бойынша журналды оқыңыз. Қызметтің жұмыс істеп тұр күйі қаптаманың шықпағанын ғана білдіреді, бұл оның баласы бірден өлгенде де дұрыс.