Perkhidmatan OpenVPN gagal pada profil yang dibuka GUI: lima pemeriksaan

Dua pelancar membuka profil yang sama pada satu mesin, dan hanya GUI menyambung. Fail itu utuh dan pemasang mungkin baik-baik saja; yang berbeza ialah konteks yang diberi setiap pelancar kepada openvpn.exe. Direktori kerja, identiti akaun dan atribut fail semuanya bergerak bersama konteks itu. Periksa mengikut urutan itu dan berhenti pada yang pertama yang menerangkan ralat itu.

Sahkan pelancar mana yang gagal

Mulakan dengan membuktikan pemisahan itu. Jika GUI menyambung dan perkhidmatan tidak, dengan laluan profil yang sama, fail itu boleh dibaca oleh seseorang dan persoalannya menjadi siapa yang membacanya dan dari mana. Jika kedua-duanya gagal, profil itu rosak dan tiada satu pun daripada ini terpakai. Catat nama perkhidmatan dan profil tepat yang diarahkan untuk dimuatkan.

Perkhidmatan yang menunjuk ke direktori mula automatiknya sendiri mungkin tidak memuatkan fail yang anda buka dalam editor. Bandingkan laluan dalam konfigurasi perkhidmatan dengan laluan dalam GUI, aksara demi aksara, kerana nama folder di hujung atau huruf pemacu yang berbeza sudah cukup untuk membawa anda ke cabang yang salah.

Di mana laluan relatif diselesaikan

Profil yang merujuk ca.crt atau skrip pembantu dengan nama sahaja meminta carian relatif kepada tempat proses itu berada. GUI bermula dalam folder konfigurasi, jadi nama-nama itu diselesaikan. Perkhidmatan yang dimulakan oleh pengurus perkhidmatan tiada titik permulaan sedemikian, dan carian gagal sebelum sebarang sijil dibaca. Itulah sebabnya profil yang sama berfungsi dalam satu pelancar dan tidak dalam yang lain.

Beri pembalut direktori untuk bermula, atau jadikan setiap rujukan mutlak. Menghasilkan semula konteks GUI pada baris arahan kelihatan seperti ini:

openvpn --cd "C:\VPN\profiles\office" --config "C:\VPN\profiles\office\office.ovpn"

Menaikkan verbositi pada arahan itu menunjukkan laluan tepat yang dicuba. Lakukan sebelum menukar kebenaran, kerana fail yang hilang dan bacaan yang ditolak memerlukan pembetulan berbeza. Log lalai tidak membezakan keduanya. Satu bendera tambahan menjimatkan satu jam meneka.

Apabila identiti perkhidmatan tidak dapat membaca

Perkhidmatan berjalan sebagai identiti sistem, bukan sebagai anda. ACL yang memberi pengguna anda kawalan penuh dan tiada orang lain gagal di sana walaupun berfungsi sempurna dalam sesi anda. Profil yang disimpan pada pemacu yang dipetakan atau perkongsian yang disahkan gagal atas sebab yang sama. Sahkan kebenaran fail sebelum melihat apa-apa yang lain.

Pemeriksaan itu ialah bacaan kebenaran berkesan serta bacaan yang dicuba sebagai identiti perkhidmatan. Jalankan bahagian pertama dari prompt yang dinaikkan:

icacls "C:\VPN\profiles\office\office.ovpn"

Kemudian cuba bacaan yang sama sebagai identiti perkhidmatan, contohnya dengan psexec -s -i daripada Sysinternals, dan perhatikan sama ada fail itu terbuka. Jika tidak, tiada pembetulan laluan akan membantu. Betulkan ACL atau pindahkan profil ke lokasi yang boleh dibaca oleh identiti perkhidmatan.

Penyulitan peringkat fail ialah kes kedua yang lebih jarang. Profil yang ditanda dengan atribut Encrypting File System dinyahsulit secara telus untuk pengguna yang menyulitkannya dan kekal tidak terbaca oleh akaun perkhidmatan. Itulah sebabnya fail yang sama terbuka dalam editor anda dan tidak di bawah perkhidmatan.

Atribut itu kelihatan dari prompt yang dinaikkan, dan memeriksanya tidak membuka profil. Jalankan kedua-dua arahan dan baca output:

cipher /s:"C:\VPN\profiles\office"
attrib "C:\VPN\profiles\office\office.ovpn"

Memadam atribut itu menjadikan fail boleh dibaca, dan ia juga membuang perlindungan yang dibawanya. Jika profil itu mesti kekal dilindungi, letakkan bahan rahsia di tempat identiti perkhidmatan mempunyai pemberian yang jelas daripada bergantung pada penyulitan setiap pengguna. Susunan sedemikian bertahan daripada perubahan kata laluan, dan ia menjadikan akses boleh disemak oleh orang lain daripada orang yang menyulitkan fail itu.

Memutuskan siapa pemilik terowong

GUI boleh meminta kata laluan dan boleh membaca sijil dari stor pengguna anda. Perkhidmatan tidak boleh kedua-duanya, jadi profil yang bergantung pada rahsia interaktif tidak akan bermula tanpa pengawasan, tidak kira bagaimana laluan dibetulkan. Had itu ialah keputusan reka bentuk, bukan kecacatan untuk dielakkan. Pilih satu pemilik sebelum menukar apa-apa yang lain.

Jika terowong mesti naik sebelum log masuk, beri perkhidmatan sumber kelayakan tanpa pengawasan dan salinan profilnya sendiri. Jika ia hanya perlu wujud semasa anda di meja, simpan dalam GUI dan buang salinan perkhidmatan. Kedua-duanya serentak ialah konfigurasi yang menghasilkan konflik penyesuai dan laluan berganda.

Konflik itu biasanya didiagnosis sebagai ralat konfigurasi dan bukan dua pemilik yang berebut satu penyesuai. Log peristiwa akan menunjukkan satu proses gagal membuka peranti TAP, yang kelihatan seperti masalah kebenaran dan bukan. Kira pemilik dahulu.

Apa yang sebenarnya dilancarkan pembalut perkhidmatan

Titik masuk perkhidmatan ialah pembalut kecil yang membaca parameternya sendiri yang tersimpan dan kemudian memulakan openvpn.exe. Apabila baris arahan dalam log peristiwa tidak sepadan dengan jangkaan anda, nilai-nilai itulah yang perlu diperiksa. Memasang semula mengembalikannya kepada lalai dan memusnahkan bukti. Baca dahulu.

Nilai-nilai itu hidup dalam registri di bawah kunci perkhidmatan sendiri, dan sc qc menunjukkan laluan binari yang akan dilancarkan oleh pengurus perkhidmatan. Bandingkan laluan itu dengan konfigurasi tersimpan pembalut sebelum menyunting mana-mana satu.

Menggantikan pembalut dengan skrip yang anda kawal lebih invasif, tetapi ia melipat baris arahan berkesan menjadi satu fail yang boleh dibaca. Akhiri dengan mula semula, kemudian baca log setiap profil sehingga baris permulaan yang berjaya pertama muncul. Status perkhidmatan berjalan hanya bermakna pembalut belum keluar, yang juga benar apabila anaknya mati serta-merta.