OpenVPN pakalpojums neizdodas profilā, kuru GUI atver: piecas pārbaudes

Divi palaidēji atver vienu un to pašu profilu vienā mašīnā, un savienojas tikai GUI. Datne ir vesela, un instalētājs, visticamāk, ir kārtībā; atšķiras konteksts, ko katrs palaidējs dod openvpn.exe. Darba mape, konta identitāte un datnes atribūti visi ceļo kopā ar šo kontekstu. Pārbaudiet tos šajā secībā un apstājieties pie pirmā, kas izskaidro kļūdu.

Apstipriniet, kurš palaidējs neizdodas

Sāciet ar šķēluma pierādīšanu. Ja GUI savienojas, bet pakalpojums ne, ar to pašu profila ceļu, datni kāds var lasīt, un jautājums kļūst, kas to lasa un no kurienes. Ja neizdodas abi, profils ir bojāts un nekas no šī neattiecas. Pierakstiet pakalpojuma nosaukumu un precīzo profilu, kas tam tika likts ielādēt.

Pakalpojums, kas norāda uz savu automātiskās palaišanas mapi, var neielādēt datni, kas jums ir atvērta redaktorā. Salīdziniet ceļu pakalpojuma konfigurācijā ar ceļu GUI, zīmi pa zīmei, jo mapes nosaukums beigās vai cits diska burts ir pietiekams, lai aizvestu jūs nepareizajā zarā.

Kur tiek atrisināti relatīvie ceļi

Profils, kas atsaucas uz ca.crt vai palīgskriptu tikai ar nosaukumu, pieprasa meklēšanu attiecībā pret vietu, kur atrodas process. GUI sākas konfigurācijas mapē, tāpēc šie nosaukumi tiek atrisināti. Pakalpojumam, ko palaiž pakalpojumu pārvaldnieks, šāda sākumpunkta nav, un meklēšana neizdodas pirms jebkura sertifikāta nolasīšanas. Tāpēc viens un tas pats profils darbojas vienā palaidējā, bet ne otrā.

Dodiet ietvaram mapi, kurā sākt, vai padariet katru atsauci absolūtu. GUI konteksta atveidošana komandrindā izskatās šādi:

openvpn --cd "C:\VPN\profiles\office" --config "C:\VPN\profiles\office\office.ovpn"

Detalizācijas palielināšana šajā komandā parāda precīzo ceļu, kas tika mēģināts. Dariet to pirms atļauju maiņas, jo trūkstoša datne un atteikta lasīšana prasa dažādus labojumus. Noklusējuma žurnāls tos neatšķir. Viena papildu opcija ietaupa stundu minējumu.

Kad pakalpojuma identitāte nevar lasīt

Pakalpojums darbojas kā sistēmas identitāte, nevis jūs. ACL, kas jūsu lietotājam dod pilnīgu kontroli un nevienam citam, tur neizdodas, lai gan jūsu sesijā darbojas nevainojami. Profils, kas turēts piesaistītā diskā vai autentificētā koplietojumā, neizdodas tā paša iemesla dēļ. Apstipriniet datnes atļaujas pirms jebko citu apskatīt.

Pārbaude ir efektīvo atļauju lasīšana plus lasīšana, kas mēģināta kā pakalpojuma identitāte. Palaidiet pirmo daļu paaugstinātā komandrindā:

icacls "C:\VPN\profiles\office\office.ovpn"

Pēc tam mēģiniet to pašu lasīšanu kā pakalpojuma identitāte, piemēram, ar psexec -s -i no Sysinternals, un vērojiet, vai datne atveras. Ja ne, neviens ceļa labojums nepalīdzēs. Izlabojiet ACL vai pārvietojiet profilu uz vietu, ko pakalpojuma identitāte var lasīt.

Datnes līmeņa šifrēšana ir otrais, retākais gadījums. Profils, kas atzīmēts ar Encrypting File System atribūtu, tiek caurspīdīgi atšifrēts lietotājam, kurš to šifrējis, un paliek neizlasāms pakalpojuma kontam. Tāpēc tā pati datne atveras jūsu redaktorā, bet ne zem pakalpojuma.

Atribūts ir redzams no paaugstinātas komandrindas, un tā pārbaude neatver profilu. Palaidiet abas komandas un izlasiet izvadi:

cipher /s:"C:\VPN\profiles\office"
attrib "C:\VPN\profiles\office\office.ovpn"

Atribūta noņemšana padara datni lasāmu, un tā arī noņem aizsardzību, ko tā nesa. Ja profilam jāpaliek aizsargātam, ievietojiet slepeno materiālu tur, kur pakalpojuma identitātei ir skaidra atļauja, nevis paļaujieties uz šifrēšanu katram lietotājam. Šāda kārtība pārdzīvo paroles maiņu, un tā ļauj piekļuvi pārskatīt kādam citam, nevis personai, kas šifrēja datni.

Izlemt, kam pieder tunelis

GUI var pieprasīt paroli un nolasīt sertifikātu no jūsu lietotāja krātuves. Pakalpojums nevar ne vienu, ne otru, tāpēc profils, kas atkarīgs no interaktīva noslēpuma, nekad nesāksies bez uzraudzības, lai kā ceļi tiktu laboti. Šī robeža ir dizaina lēmums, nevis trūkums, kas jāapiet. Izvēlieties vienu īpašnieku pirms kaut ko citu mainīt.

Ja tunelim jābūt paceltam pirms pieteikšanās, dodiet pakalpojumam bez uzraudzības pieejamu akreditācijas datu avotu un savu profila kopiju. Ja tam jāpastāv tikai tad, kad esat pie rakstāmgalda, turiet to GUI un noņemiet pakalpojuma kopiju. Abi vienlaikus ir tā konfigurācija, kas rada adapteru konfliktus un dubultus maršrutus.

Šis konflikts parasti tiek diagnosticēts kā konfigurācijas kļūda, nevis kā divi īpašnieki, kas cīnās par vienu adapteri. Notikumu žurnāls parādīs vienu procesu, kas nespēj atvērt TAP ierīci, un tas izskatās pēc atļauju problēmas, bet tā nav. Vispirms saskaitiet īpašniekus.

Ko patiesībā palaiž pakalpojuma ietvars

Pakalpojuma ievades punkts ir mazs ietvars, kas nolasa savus saglabātos parametrus un pēc tam palaiž openvpn.exe. Kad komandrinda notikumu žurnālā neatbilst jūsu gaidītajam, tieši šīs vērtības ir tas, kas jāpārbauda. Pārinstalēšana atgriež tās noklusējuma vērtībās un iznīcina pierādījumus. Vispirms izlasiet tās.

Vērtības dzīvo reģistrā zem paša pakalpojuma atslēgas, un sc qc parāda binārā faila ceļu, ko palaidīs pakalpojumu pārvaldnieks. Salīdziniet šo ceļu ar ietvara saglabāto konfigurāciju pirms jebkura no tiem rediģēšanas.

Ietvara aizstāšana ar skriptu, ko kontrolējat jūs, ir invazīvāka, bet tā saloka efektīvo komandrindu vienā lasāmā datnē. Pabeidziet ar pārstartēšanu, pēc tam lasiet katra profila žurnālu, līdz parādās pirmā veiksmīgā startēšanas rinda. Pakalpojuma statuss darbojas nozīmē tikai to, ka ietvars nav izgājis, kas ir taisnība arī tad, kad tā bērns nomira uzreiz.