Den OpenVPN-Service schläit op engem Profil fehl, deen d’GUI opmécht: fënnef Kontrollen

Zwee Starteren opmaachen deems selwechte Profil op enger Maschinn, an nëmmen d’GUI verbënnt. D’Datei ass intakt an den Installateur ass wahrscheinlech an der Rei; wat sech ënnerscheet ass de Kontext, deen all Starter openvpn.exe gëtt. Den Aarbechtsverzeichnis, d’Kontidentitéit an d’Dateiattributer reesen all mat dësem Kontext. Kontrolléiert se an dëser Rei a stoppt bei deem éischten, deen de Feeler erkläert.

Bestätegt, wéi en Starter verseeft

Fänkt domat un, d’Trennung ze beweisen. Wann d’GUI sech verbënnt an de Service net, mat dem selwechte Profilspad, ass d’Datei fir ee liisbar an d’Fro gëtt, wien se liest a vu wou. Wa béid versoen, ass de Profil futti an näischt dovun trëfft ze. Schreift den Numm vum Service an de geneeë Profil op, deen en huet solle lueden.

E Service deen op säin eegene Autostart-Verzeichnis weist, luet vläicht net d’Datei, déi Dir am Editor op hutt. Vergläicht de Spad an der Servicekonfiguratioun mat deem an der GUI, Zeechen fir Zeechen, well en Numm vun engem Dossier um Enn oder eng aner Drivebuschtaw genuch ass, fir Iech an de falsche Branche ze schécken.

Wou relativ Spade opgeléist ginn

E Profil deen op ca.crt oder op e Hëllefsskript just mam Numm verweist, freet eng Sich relativ zu deem, wou de Prozess ass. D’GUI fänkt am Konfiguratiounsdossier un, dofir ginn déi Nimm opgeléist. E Service dee vum Servicemanager gestart gëtt, huet sou en Ausgangspunkt net, an d’Sich verseeft ier en Zertifikat gelies gëtt. Dofir fonctionéiert dee selwechte Profil an engem Starter an net am aneren.

Gitt dem Wrapper en Dossier fir unzefänken, oder maacht all Referenz absolut. De Kontext vun der GUI op enger Kommandozeil reproduzéieren gesäit esou aus:

openvpn --cd "C:\VPN\profiles\office" --config "C:\VPN\profiles\office\office.ovpn"

Méi Detailer op dësem Kommando weisen de geneeë Spad, dee probéiert gouf. Maacht dat ier Dir Berechtegt ännert, well eng fehlend Datei an eng verworfene Liesung verschidde Korrekture brauchen. Den Standardprotokoll ënnerscheet se net. Eng zousätzlech Fändel spuert eng Stonn Roten.

Wann d’Serviceidentitéit net liese kann

E Service leeft als Systemidentitéit, net als Dir. Eng ACL déi Ärem Benotzer voll Kontroll gëtt an keen aneren, verseeft do, wärend se an Ärer Sitzung perfekt fonctionéiert. E Profil op engem gemappten Drive oder enger authentifizéierter Deelung verseeft aus demselwecht Grond. Bestätegt d’Berechtegt vun der Datei, ier Dir eppes anescht ukuckt.

D’Kontroll ass eng Liesung vun den effektiven Berechtegten plus eng Liesung, déi als Serviceidentitéit probéiert gëtt. Féiert den éischten Deel aus engem erhéichte Kommandoprompt aus:

icacls "C:\VPN\profiles\office\office.ovpn"

Probéiert duerno déi selwecht Liesung als Serviceidentitéit, zum Beispill mam psexec -s -i vun Sysinternals, a kuckt, ob d’Datei sech opmécht. Wann net, hëlleft keng Spadkorrektur. Korrigéiert d’ACL oder verréckelt de Profil op eng Plaz, wou d’Serviceidentitéit liese kann.

Dateiverschlësselung ass den zweete, méi seele Fall. E Profil mat dem Attribut Encrypting File System gëtt transparent entschlësselt fir de Benotzer, deen en verschlësselt huet, a bleift onliesbar fir e Servicekont. Dofir mécht déi selwecht Datei sech an Ärem Editor op an net ënner dem Service.

D’Attribut ass aus engem erhéichte Kommandoprompt siichtbar, an et ze kontrolléieren mécht de Profil net op. Féiert béid Kommandoen aus a liest d’Ausgab:

cipher /s:"C:\VPN\profiles\office"
attrib "C:\VPN\profiles\office\office.ovpn"

D’Attribut läschen mécht d’Datei liesbar, an et hëlt och de Schutz ewech, deen se gedroen huet. Wann de Profil geschützt muss bleiwen, setzt de geheime Material dohin, wou d’Serviceidentitéit eng ausdrécklech Bewëllegung huet, amplaz sech op Verschlësselung pro Benotzer ze verloossen. Sou eng Anuerdnung iwwerlieft eng Passwuertännnerung, an et mécht den Zougang iwwerpréifbar vun engem aneren wéi der Persoun, déi d’Datei verschlësselt huet.

Decidéieren, wiem den Tunnel gehéiert

D’GUI kann e Passwuert froen a kann en Zertifikat aus Ärem Benotzerspäicher liesen. De Service kann dat béides net, dofir fänkt e Profil deen vun engem interaktiven Geheimnis ofhänkt ni onbewaacht un, egal wéi d’Spade korrigéiert ginn. Dës Grenz ass eng Designentscheedung, keen Defekt deen een ëmgank. Wielt ee Besëtzer, ier Dir eppes anescht ännert.

Wann den Tunnel virum Login muss stoen, gitt dem Service eng onbewaacht Quell vu Benotzerdaten an eng eege Kopie vum Profil. Wann en just do muss sinn, wärend Dir um Schreifdësch sidd, haalt en an der GUI a läscht d’Servicekopie. Béides gläichzäiteg ass d’Konfiguratioun déi Adapterkonflikter an duebel Route produzéiert.

Dee Konflikt gëtt meeschtens als Konfiguratiounsfeeler diagnostizéiert an net als zwee Besëtzer déi ëm een Adapter streiden. Den Evenementsprotokoll weist ee Prozess deen den TAP-Gerät net opmécht, wat wéi e Berechtegungsproblem ausgesäit an et net ass. Zielt d’Besëtzer als éischt.

Wat de Service-Wrapper tatsächlech startet

Den Entrée-Punkt vum Service ass e klengen Wrapper dee seng eege gespäichert Parameter liest an duerno openvpn.exe startet. Wann d’Kommandozeil am Evenementsprotokoll net Ärer Erwaardung entsprécht, dann ass et genau déi Wäerter déi ee soll ënnersichen. Eng Neiinstallatioun setzt se op de Standard zeréck an zerstéiert d’Beweiser. Liest se als éischt.

D’Wäerter liewen an der Registry ënner dem eegene Schlëssel vum Service, an sc qc weist de binäre Spad, deen de Servicemanager starten. Vergläicht dee Spad mat der gespäicherter Konfiguratioun vum Wrapper, ier Dir ee vun deenen zwee ännert.

De Wrapper duerch e Skript z’ersetzen dat Dir kontrolléiert ass invasiver, awer et fält d’effektiv Kommandozeil an eng liesbar Datei. Fänkt mat engem Neistart op, a liest dann de Protokoll pro Profil bis déi éischt erfollegräich Startzeil erschéngt. E Servicestatus vun lafend bedeit just, datt de Wrapper net erausgong ass, wat och stëmmt wann säi Kand direkt gestuerwen ass.