OpenVPN tarnyba nepavyksta profilyje, kurį atidaro GUI: penki patikrinimai

Du paleidikliai atidaro tą patį profilį vienoje mašinoje, ir jungiasi tik GUI. Failas sveikas, o diegėjas tikriausiai tvarkingas; skiriasi kontekstas, kurį kiekvienas paleidiklis duoda openvpn.exe. Darbo katalogas, paskyros tapatybė ir failo atributai keliauja kartu su tuo kontekstu. Patikrinkite juos šia tvarka ir sustokite ties pirmuoju, kuris paaiškina klaidą.

Patvirtinkite, kuris paleidiklis nepavyksta

Pradėkite įrodydami atskyrimą. Jei GUI prisijungia, o tarnyba ne, su tuo pačiu profilio keliu, failą kažkas gali skaityti ir klausimas tampa, kas jį skaito ir iš kur. Jei nepavyksta abu, profilis sugadintas ir niekas iš to netaikoma. Užsirašykite tarnybos pavadinimą ir tikslų profilį, kurį jai buvo liepta įkelti.

Tarnyba, nukreipta į savo paties automatinio paleidimo katalogą, gali neįkelti failo, kurį turite atidarę redaktoriuje. Palyginkite kelią tarnybos konfigūracijoje su keliu GUI, ženklas po ženklo, nes galinė aplanko pavadinimo dalis ar kitokia disko raidė pakankamai nukreipia į netinkamą šaką.

Kur sprendžiami santykiniai keliai

Profilis, kuris nurodo ca.crt arba pagalbinį scenarijų vien pavadinimu, reikalauja paieškos, santykinės tos vietos, kur yra procesas. GUI pradeda konfigūracijos aplanke, todėl tie pavadinimai išsprendžiami. Tarnyba, kurią paleidžia tarnybų tvarkyklė, tokio pradinio taško neturi, ir paieška nepavyksta dar neskaičius jokio sertifikato. Todėl tas pats profilis veikia viename paleidiklyje, o kitame ne.

Duokite apvalkalui katalogą, kuriame pradėti, arba padarykite kiekvieną nuorodą absoliučia. GUI konteksto atkūrimas komandų eilutėje atrodo taip:

openvpn --cd "C:\VPN\profiles\office" --config "C:\VPN\profiles\office\office.ovpn"

Didesnis tos komandos detalumas parodo tikslų kelią, kuris buvo bandomas. Atlikite tai prieš keisdami teises, nes trūkstamas failas ir atmestas skaitymas reikalauja skirtingų taisymų. Numatytasis žurnalas jų neišskiria. Vienas papildomas parametras sutaupo valandą spėliojimų.

Kai tarnybos tapatybė negali skaityti

Tarnyba veikia kaip sistemos tapatybė, o ne jūs. ACL, kuris jūsų naudotojui suteikia visą kontrolę, o kitiems nieko, ten nepavyksta, nors jūsų sesijoje veikia puikiai. Profilis, laikomas prijungtame diske ar autentifikuotame bendrinime, nepavyksta dėl tos pačios priežasties. Patvirtinkite failo teises prieš žiūrėdami į ką nors kita.

Patikrinimas yra efektyvių teisių skaitymas ir skaitymas, bandomas kaip tarnybos tapatybė. Pirmąją dalį paleiskite iš padidintos komandų eilutės:

icacls "C:\VPN\profiles\office\office.ovpn"

Tada pabandykite tą patį skaitymą kaip tarnybos tapatybė, pavyzdžiui, su psexec -s -i iš Sysinternals, ir stebėkite, ar failas atsidaro. Jei ne, jokia kelio pataisa nepadės. Ištaisykite ACL arba perkelkite profilį į vietą, kurią tarnybos tapatybė gali skaityti.

Failo lygmens šifravimas yra antrasis, retesnis atvejis. Profilis, pažymėtas Encrypting File System atributu, skaidriai iššifruojamas naudotojui, kuris jį užšifravo, ir lieka neperskaitomas tarnybos paskyrai. Todėl tas pats failas atsidaro jūsų redaktoriuje, o ne po tarnyba.

Atributas matomas iš padidintos komandų eilutės, ir jo tikrinimas neatidaro profilio. Paleiskite abi komandas ir perskaitykite išvestį:

cipher /s:"C:\VPN\profiles\office"
attrib "C:\VPN\profiles\office\office.ovpn"

Atributo pašalinimas padaro failą perskaitomą, ir tai taip pat pašalina apsaugą, kurią jis nešė. Jei profilis turi likti apsaugotas, dėkite slaptą medžiagą ten, kur tarnybos tapatybė turi aiškų leidimą, o ne pasikliaukite šifravimu pagal naudotoją. Tokia tvarka išlieka pasikeitus slaptažodžiui, ir ji leidžia prieigą peržiūrėti kam nors kitam nei asmuo, kuris užšifravo failą.

Nuspręsti, kam priklauso tunelis

GUI gali paprašyti slaptažodžio ir perskaityti sertifikatą iš jūsų naudotojo saugyklos. Tarnyba negali nei vieno, nei kito, todėl profilis, priklausantis nuo interaktyvios paslapties, niekada nepasileis be priežiūros, kad ir kaip būtų taisomi keliai. Ši riba yra dizaino sprendimas, o ne trūkumas, kurį reikia apeiti. Pasirinkite vieną savininką prieš ką nors kita keisdami.

Jei tunelis turi būti pakeltas prieš prisijungimą, duokite tarnybai be priežiūros veikiantį prisijungimo duomenų šaltinį ir savo profilio kopiją. Jei jis turi egzistuoti tik tada, kai esate prie stalo, laikykite jį GUI ir pašalinkite tarnybos kopiją. Abu vienu metu yra konfigūracija, sukelianti adapterių konfliktus ir dvigubus maršrutus.

Toks konfliktas paprastai diagnozuojamas kaip konfigūracijos klaida, o ne du savininkai, kovojantys dėl vieno adapterio. Įvykių žurnalas parodys vieną procesą, kuris nesugeba atidaryti TAP įrenginio, ir tai atrodo kaip teisių problema, bet nėra. Pirmiausia suskaičiuokite savininkus.

Ką iš tikrųjų paleidžia tarnybos apvalkalas

Tarnybos įėjimo taškas yra mažas apvalkalas, kuris perskaito savo išsaugotus parametrus ir tada paleidžia openvpn.exe. Kai įvykių žurnalo komandų eilutė neatitinka jūsų lūkesčių, būtent tas reikšmes reikia ištirti. Perdiegimas grąžina jas į numatytąsias ir sunaikina įrodymus. Pirmiausia jas perskaitykite.

Reikšmės gyvena registre po pačios tarnybos raktu, o sc qc rodo dvejetainio failo kelią, kurį paleis tarnybų tvarkyklė. Palyginkite tą kelią su išsaugota apvalkalo konfigūracija prieš redaguodami bet kurį iš jų.

Apvalkalo pakeitimas jūsų valdomu scenarijumi yra invazyvesnis, bet jis sulenkia efektyvią komandų eilutę į vieną perskaitomą failą. Užbaikite perkrovimu, tada skaitykite kiekvieno profilio žurnalą, kol pasirodys pirmoji sėkminga paleidimo eilutė. Tarnybos būsena veikia tik reiškia, kad apvalkalas neišėjo, o tai tiesa ir tada, kai jo vaikas mirė iš karto.