OpenVPN кызматы GUI ачкан профилде иштебей калат: беш текшерүү

Эки иштеткич бир машинада ошол эле профилди ачат, бирок GUI гана туташат. Файл бүтүн, орнотуучу да жакшы болушу мүмкүн; айырма — ар бир иштеткич openvpn.exe-ге берген контекст. Жумуш каталогу, эсептин идентитети жана файл атрибуттары ошол контекст менен бирге жүрөт. Аларды ошол тартипте текшерип, катаны түшүндүргөн биринчисинде токтоңуз.

Кайсы иштеткич иштебей калганын ырастаңыз

Бөлүнүүнү далилдөөдөн баштаңыз. Эгер GUI туташып, кызмат туташпаса, ошол эле профиль жолу менен, файлды бирөө окуй алат жана суроо аны ким жана кайдан окуйт дегенге айланат. Экиөө тең иштебей калса, профиль бузулган жана булардын эч бири тиешеси жок. Кызматтын атын жана ага жүктөө буйрулган так профилди жазып алыңыз.

Өзүнүн автозапуск каталогуна багытталган кызмат редактордо ачык турган файлды жүктөбөшү мүмкүн. Кызмат конфигурациясындагы жолду GUI-деги жол менен тамга-тамга салыштырыңыз, анткени аягындагы папка аты же башка диск тамгасы сизди туура эмес бутакка жиберүүгө жетиштүү.

Салыштырмалуу жолдор кайда чечилет

ca.crt же жардамчы скриптке аты менен гана шилтеме кылган профиль процесстин жайгашкан жерине карата издөөнү талап кылат. GUI конфигурация папкасында башталат, ошондуктан бул аттар чечилет. Кызмат менеджери иштеткен кызматта мындай баштапкы чекит жок, жана издөө кандайдыр бир сертификат окулганга чейин иштебей калат. Ошондуктан бир профиль бир иштеткичте иштеп, экинчисинде иштебейт.

Каптамага баштоо үчүн каталог бериңиз же ар бир шилтемени абсолюттук кылыңыз. GUI контекстин команда сабында кайра жаратуу мындай көрүнөт:

openvpn --cd "C:\VPN\profiles\office" --config "C:\VPN\profiles\office\office.ovpn"

Ошол команданын деталдуулугун жогорулатуу аракет кылынган так жолду көрсөтөт. Муну уруксаттарды өзгөртүүдөн мурун жасаңыз, анткени жок файл жана четке кагылган окуу ар кандай түзөтүүлөрдү талап кылат. Демейки журнал аларды айырбаштабайт. Бир кошумча желек бир сааттык божомолду үнөмдөйт.

Кызматтын идентитети окуй албаганда

Кызмат сиз сыяктуу эмес, системалык идентитет катары иштейт. Сиздин колдонуучуга толук көзөмөл берип, башка эч кимге бербеген ACL сиздин сессияда эң жакшы иштегени менен, ал жерде иштебей калат. Салыштырылган дискте же аутентификацияланган бөлүшүүдө сакталган профиль да ошол эле себептен иштебейт. Башка нерсеге карабастан мурун файлдын уруксаттарын ырастаңыз.

Текшерүү — эффективдүү уруксаттарды окуу жана кызматтын идентитети катары аракет кылынган окуу. Биринчи бөлүгүн көтөрүлгөн команда сабынан аткарыңыз:

icacls "C:\VPN\profiles\office\office.ovpn"

Андан кийин ошол окууну кызматтын идентитети катары аракет кылып көрүңүз, мисалы Sysinternals-тин psexec -s -i менен, жана файл ачылабы, байкаңыз. Ачылбаса, эч бир жол түзөтүүсү жардам бербейт. ACL-ди оңдоңуз же профилди кызматтын идентитети окуй алган жерге жылдырыңыз.

Файл деңгээлиндеги шифрлөө — экинчи, сейрек кездешүүчү учур. Encrypting File System атрибуту менен белгиленген профиль аны шифрлеген колдонуучу үчүн ачык түрдө чечилет жана кызматтык эсеп үчүн окулбайт. Ошондуктан ошол эле файл сиздин редакторуңузда ачылып, кызматтын астында ачылбайт.

Атрибут көтөрүлгөн команда сабынан көрүнөт, жана аны текшерүү профилди ачпайт. Эки команданы тең аткарып, чыгышты окуңуз:

cipher /s:"C:\VPN\profiles\office"
attrib "C:\VPN\profiles\office\office.ovpn"

Атрибутту жок кылуу файлды окула турган кылат, жана ал өзү алып жүргөн коргоону да алып салат. Эгер профиль корголгон бойдон калышы керек болсо, купуя материалды колдонуучу боюнча шифрлөөгө таянуунун ордуна кызматтын идентитетине ачык уруксат берилген жерге коюңуз. Мындай жайгаштыруу сырсөз алмашканда да сакталат, жана кирүүнү файлды шифрлеген адамдан башка бирөө текшерүүсүнө мүмкүндүк берет.

Туннелдин ээсин аныктоо

GUI сырсөз сурай алат жана колдонуучу сактагычыңыздан сертификат окуй алат. Кызмат экөөнү тең жасай албайт, ошондуктан интерактивдүү купуяга көз каранды профиль жолдор кандай оңдолсо да, көзөмөлсүз эч качан башталбайт. Бул чек — дизайн чечими, айланып өтүүчү кемчилик эмес. Башка нерсени өзгөртүүдөн мурун бир ээсин тандаңыз.

Эгер туннель системага кирүүдөн мурун иштеши керек болсо, кызматка көзөмөлсүз эсептик маалымат булагын жана профилдин өзүнүн көчүрмөсүн бериңиз. Эгер ал сиз үстөлдө отурганда гана болушу керек болсо, аны GUI-де кармап, кызматтын көчүрмөсүн алып салыңыз. Экөө бирге — адаптер каршылыктарын жана кайталанма маршруттарды жараткан конфигурация.

Мындай каршылык көбүнчө бир адаптер үчүн талашкан эки ээ катары эмес, конфигурация катасы катары аныкталат. Окуялар журналы бир процесстин TAP түзмөгүн ача албаганын көрсөтөт, бул уруксат маселесине окшош жана андай эмес. Адегенде ээлерди санаңыз.

Кызмат каптамасы чындыгында эмнени иштетет

Кызматтын кирүү чекити — өзүнүн сакталган параметрлерин окуп, анан openvpn.exe-ни иштетүүчү кичинекей каптама. Окуялар журналындагы команда сабы сиздин күтүүңүзгө туура келбесе, дал ошол маанилерди текшерүү керек. Кайра орнотуу аларды демейкиге кайтарат жана далилдерди жок кылат. Адегенде аларды окуңуз.

Маанилер реестрде кызматтын өз ачкычынын астында жашайт, жана sc qc кызмат менеджери иштете турган бинардык жолду көрсөтөт. Алардын кайсынысын болбосун оңдоодон мурун ошол жолду каптаманын сакталган конфигурациясы менен салыштырыңыз.

Каптаманы өзүңүз көзөмөлдөгөн скрипт менен алмаштыруу көбүрөөк кийлигишет, бирок ал эффективдүү команда сабын бир окула турган файлга бүктөйт. Кайра жүктөө менен аяктаңыз, анан биринчи ийгиликтүү иштөө сабы пайда болгонго чейин профиль боюнча журналды окуңуз. Кызматтын иштеп жатат статусу каптама чыкпаганын гана билдирет, бул анын баласы дароо өлгөндө да туура.