Storitev OpenVPN ne uspe s profilom, ki ga GUI odpre: pet preverjanj

Dva zaganjalnika odpreta isti profil na enem računalniku, in poveže se samo GUI. Datoteka je nedotaknjena in namestitveni program je verjetno v redu; razlikuje se kontekst, ki ga vsak zaganjalnik daje openvpn.exe. Delovni imenik, identiteta računa in atributi datoteke vsi potujejo s tem kontekstom. Preverite jih v tem vrstnem redu in ustavite se pri prvem, ki pojasni napako.

Potrdite, kateri zaganjalnik ne uspe

Začnite z dokazom razdelitve. Če se GUI poveže in storitev ne, z isto potjo profila, je datoteka berljiva za nekoga in vprašanje postane, kdo jo bere in od kod. Če oba ne uspeta, je profil pokvarjen in nič od tega ne velja. Zapišite ime storitve in natančen profil, ki naj bi ga naložila.

Storitev, usmerjena v lastno mapo za samodejni zagon, morda ne naloži datoteke, ki jo imate odprto v urejevalniku. Primerjajte pot v konfiguraciji storitve s potjo v GUI, znak za znakom, ker ime mape na koncu ali druga črka pogona zadostuje, da vas pošlje v napačno vejo.

Kje se razrešijo relativne poti

Profil, ki se sklicuje na ca.crt ali pomožno skripto samo po imenu, zahteva iskanje glede na mesto, kjer je proces. GUI se začne v konfiguracijski mapi, zato se ta imena razrešijo. Storitev, ki jo zažene upravitelj storitev, takega izhodišča nima, in iskanje ne uspe, preden se prebere kateri koli certifikat. Zato isti profil deluje v enem zaganjalniku in ne v drugem.

Dajte ovoju imenik za začetek ali naredite vsako sklicevanje absolutno. Ponazoritev konteksta GUI v ukazni vrstici izgleda takole:

openvpn --cd "C:\VPN\profiles\office" --config "C:\VPN\profiles\office\office.ovpn"

Povečanje podrobnosti pri tem ukazu pokaže natančno pot, ki je bila poskušena. To storite pred spreminjanjem dovoljenj, ker manjkajoča datoteka in zavrnjeno branje zahtevata različne popravke. Privzeti dnevnik ju ne razlikuje. Ena dodatna zastavica prihrani uro ugibanja.

Ko identiteta storitve ne more brati

Storitev teče kot sistemska identiteta, ne kot vi. ACL, ki vašemu uporabniku daje popoln nadzor in nikomur drugemu, tam ne uspe, medtem ko v vaši seji deluje brezhibno. Profil, shranjen na preslikani enoti ali overjeni skupni rabi, ne uspe iz istega razloga. Potrdite dovoljenja datoteke, preden pogledate kar koli drugega.

Preverjanje je branje dejanskih dovoljenj plus branje, poskušeno kot identiteta storitve. Zaženite prvi del iz povišane ukazne vrstice:

icacls "C:\VPN\profiles\office\office.ovpn"

Nato poskusite isto branje kot identiteta storitve, na primer z psexec -s -i iz Sysinternals, in opazujte, ali se datoteka odpre. Če se ne, noben popravek poti ne bo pomagal. Popravite ACL ali premaknite profil na mesto, ki ga identiteta storitve lahko bere.

Šifriranje na ravni datoteke je drugi, redkejši primer. Profil, označen z atributom Encrypting File System, se pregledno odšifrira za uporabnika, ki ga je šifriral, in ostane neberljiv za račun storitve. Zato se ista datoteka odpre v vašem urejevalniku in ne pod storitvijo.

Atribut je viden iz povišane ukazne vrstice in njegovo preverjanje ne odpre profila. Zaženite oba ukaza in preberite izhod:

cipher /s:"C:\VPN\profiles\office"
attrib "C:\VPN\profiles\office\office.ovpn"

Če atribut odstranite, datoteka postane berljiva, odstranite pa tudi zaščito, ki jo je nosila. Če mora profil ostati zaščiten, postavite tajno gradivo tja, kjer ima identiteta storitve izrecno dovoljenje, namesto da se zanašate na šifriranje po uporabniku. Takšna ureditev preživi spremembo gesla in omogoči, da dostop pregleda nekdo drug kot oseba, ki je datoteko šifrirala.

Odločitev, kdo ima predor

GUI lahko zahteva geslo in lahko prebere certifikat iz vaše uporabniške shrambe. Storitev ne more ne enega ne drugega, zato profil, ki je odvisen od interaktivne skrivnosti, nikoli ne bo zagnal brez nadzora, ne glede na to, kako se popravijo poti. Ta omejitev je oblikovalska odločitev, ne pomanjkljivost, ki jo je treba zaobiti. Izberite enega lastnika, preden spremenite kar koli drugega.

Če mora biti predor vzpostavljen pred prijavo, dajte storitvi vir poverilnic brez nadzora in lastno kopijo profila. Če mora obstajati le, ko ste za mizo, ga imejte v GUI in odstranite kopijo storitve. Oba hkrati je konfiguracija, ki povzroča konflikte vmesnikov in podvojene poti.

Ta konflikt se običajno diagnosticira kot konfiguracijska napaka, ne kot dva lastnika, ki se borita za en vmesnik. Dnevnik dogodkov bo pokazal en proces, ki ne more odpreti naprave TAP, kar je videti kot težava z dovoljenji in ni. Najprej preštejte lastnike.

Kaj ovoj storitve v resnici zažene

Vstopna točka storitve je majhen ovoj, ki prebere svoje shranjene parametre in nato zažene openvpn.exe. Ko se ukazna vrstica v dnevniku dogodkov ne ujema z vašim pričakovanjem, so te vrednosti tisto, kar je treba pregledati. Ponovna namestitev jih povrne na privzete in uniči dokaze. Najprej jih preberite.

Vrednosti živijo v registru pod lastnim ključem storitve, in sc qc prikaže pot do binarne datoteke, ki jo bo zagnal upravitelj storitev. Primerjajte to pot s shranjeno konfiguracijo ovoja, preden uredite katero koli od njiju.

Zamenjava ovoja s skripto, ki jo nadzorujete, je bolj invazivna, vendar zloži dejansko ukazno vrstico v eno berljivo datoteko. Končajte s ponovnim zagonom in nato berite dnevnik za vsak profil, dokler se ne pojavi prva uspešna vrstica zagona. Stanje storitve teče pomeni le, da ovoj ni izstopil, kar velja tudi, ko je njegov otrok takoj umrl.