Услугата OpenVPN не успева на профил што GUI го отвора: пет проверки

Два стартера отвораат истиот профил на една машина, и само GUI се поврзува. Датотеката е недопрена и инсталатерот веројатно е во ред; она што се разликува е контекстот што секој стартер му го дава на openvpn.exe. Работната папка, идентитетот на сметката и атрибутите на датотеката патуваат заедно со тој контекст. Проверете ги по тој редослед и застанете на првиот што ја објаснува грешката.

Потврдете кој стартер не успева

Започнете со докажување на поделбата. Ако GUI се поврзува, а услугата не, со истата патека на профилот, датотеката е читлива за некого и прашањето станува кој ја чита и од каде. Ако и двете не успеат, профилот е расипан и ништо од ова не важи. Запишете го името на услугата и точниот профил што ѝ било наредено да го вчита.

Услуга упатена на сопствената папка за автоматско стартување може да не ја вчитува датотеката што ја имате отворено во уредувач. Споредете ја патеката во конфигурацијата на услугата со патеката во GUI, знак по знак, зашто име на папка на крајот или друга буква на дискот е доволно да ве одведе на погрешната гранка.

Каде се решаваат релативните патеки

Профил што упатува на ca.crt или на помошна скрипта само по име бара пребарување релативно на местото каде што е процесот. GUI започнува во конфигурациската папка, затоа тие имиња се решаваат. Услуга што ја стартува менаџерот на услуги нема таква почетна точка, и пребарувањето не успева пред да се прочита било кој сертификат. Затоа истиот профил работи во еден стартер, а не во другиот.

Дајте ѝ на обвивката папка во која да започне, или направете секоја референца апсолутна. Претставувањето на контекстот на GUI на командната линија изгледа вака:

openvpn --cd "C:\VPN\profiles\office" --config "C:\VPN\profiles\office\office.ovpn"

Зголемувањето на деталноста на таа команда ја покажува точната патека што била пробана. Направете го тоа пред да ги менувате дозволите, зашто датотека што недостасува и одбиено читање бараат различни поправки. Стандардниот дневник не ги разликува. Едно дополнително знаменце заштедува еден час погодување.

Кога идентитетот на услугата не може да чита

Услугата работи како системски идентитет, не како вие. ACL што на вашиот корисник му дава целосна контрола, а на никој друг, не успева таму додека во вашата сесија работи беспрекорно. Профил чуван на мапиран диск или на автентифицирано споделување не успева од истата причина. Потврдете ги дозволите на датотеката пред да погледнете било што друго.

Проверката е читање на ефективните дозволи плус читање пробано како идентитет на услугата. Извршете го првиот дел од покачена командна линија:

icacls "C:\VPN\profiles\office\office.ovpn"

Потоа пробајте го истото читање како идентитет на услугата, на пример со psexec -s -i од Sysinternals, и гледајте дали датотеката се отвора. Ако не, никаква поправка на патеката нема да помогне. Поправете го ACL или преместете го профилот на место што идентитетот на услугата може да го чита.

Шифрирањето на ниво на датотека е вториот, поредок случај. Профил означен со атрибутот Encrypting File System се дешифрира транспарентно за корисникот што го шифрирал и останува нечитлив за сметка на услуга. Затоа истата датотека се отвора во вашиот уредувач, а не под услугата.

Атрибутот е видлив од покачена командна линија, и неговата проверка не го отвора профилот. Извршете ги двете команди и прочитајте го излезот:

cipher /s:"C:\VPN\profiles\office"
attrib "C:\VPN\profiles\office\office.ovpn"

Отстранувањето на атрибутот ја прави датотеката читлива, и исто така ја отстранува заштитата што ја носеше. Ако профилот треба да остане заштитен, ставете го тајниот материјал таму каде што идентитетот на услугата има изречна дозвола, наместо да се потпирате на шифрирање по корисник. Таквата поставеност ја преживува промената на лозинката, и го прави пристапот проверлив од некој друг освен лицето што ја шифрирало датотеката.

Одлучување чиј е тунелот

GUI може да побара лозинка и може да прочита сертификат од вашето корисничко складиште. Услугата не може ниту едното, ниту другото, па профил што зависи од интерактивна тајна никогаш нема да стартува без надзор, како и да се поправат патеките. Таа граница е дизајнерска одлука, а не дефект што треба да се заобиколи. Изберете еден сопственик пред да промените било што друго.

Ако тунелот мора да биде подигнат пред најавување, дајте ѝ на услугата извор на акредитиви без надзор и сопствена копија од профилот. Ако треба да постои само додека сте на бирото, чувајте го во GUI и отстранете ја копијата на услугата. Двете истовремено е конфигурацијата што произведува конфликти на адаптер и дупликат маршрути.

Тој конфликт обично се дијагностицира како грешка во конфигурацијата, а не како два сопственика што се борат за еден адаптер. Дневникот на настани ќе покаже еден процес што не успева да го отвори уредот TAP, што изгледа како проблем со дозволи и не е. Прво избројте ги сопствениците.

Што всушност стартува обвивката на услугата

Влезната точка на услугата е мала обвивка што ги чита сопствените зачувани параметри и потоа го стартува openvpn.exe. Кога командната линија во дневникот на настани не се совпаѓа со вашето очекување, токму тие вредности се она што треба да се испита. Преинсталацијата ги враќа на стандардните и ги уништува доказите. Прочитајте ги прво.

Вредностите живеат во регистарот под сопствениот клуч на услугата, и sc qc ја покажува бинарната патека што ќе ја стартува менаџерот на услуги. Споредете ја таа патека со зачуваната конфигурација на обвивката пред да уредите било која од двете.

Заменувањето на обвивката со скрипта што вие ја контролирате е поинвазивно, но ја преклопува ефективната командна линија во една читлива датотека. Завршете со рестарт, потоа читајте го дневникот по профил додека не се појави првата успешна линија за стартување. Состојбата на услугата како работи значи само дека обвивката не излегла, што е точно и кога нејзиното дете умрело веднаш.