OpenVPN услуга не ради са профилом који GUI отвара: пет провера

Два покретача отварају исти профил на истом рачунару, а повезује се само GUI. Датотека је исправна и инсталатер је вероватно у реду; разликује се контекст који сваки покретач даје openvpn.exe. Радни директоријум, идентитет налога и атрибути датотеке путују заједно с тим контекстом. Проверите их тим редом и зауставите се на првом који објашњава грешку.

Потврдите који покретач не успева

Почните тако што ћете доказати поделу. Ако се GUI повезује, а услуга не, са истом путањом профила, датотеку неко може да чита и питање постаје ко је чита и одакле. Ако оба не успевају, профил је покварен и ништа од овога се не примењује. Запишите назив услуге и тачну путању профила који је требало да учита.

Услуга усмерена на сопствени директоријум за аутоматско покретање можда не учитава датотеку коју имате отворену у уређивачу. Упоредите путању у конфигурацији услуге са путањом у GUI-ју, знак по знак, јер је довољно име фасцикле на крају или друго слово диска да вас одведе у погрешну грану.

Где се релативне путање разрешавају

Профил који упућује на ca.crt или помоћну скрипту по голом имену тражи проналажење релативно у односу на место на ком се процес налази. GUI почиње у фасцикли конфигурације, па се та имена разрешавају. Услуга коју покреће менаџер услуга нема такву почетну тачку, и проналажење не успева пре него што се било који сертификат прочита. Зато исти профил ради у једном покретачу, а не у другом.

Дајте омотачу директоријум у ком да почне или учините сваку референцу апсолутном. Репродукција GUI контекста на командној линији изгледа овако:

openvpn --cd "C:\VPN\profiles\office" --config "C:\VPN\profiles\office\office.ovpn"

Повећање детаљности на тој команди показује тачну путању која је покушана. Урадите то пре промене дозвола, јер датотека која недостаје и одбијено читање захтевају различите поправке. Подразумевани дневник их не разликује. Један додатни прекидач штеди сат нагађања.

Када идентитет услуге не може да чита

Услуга ради под системским идентитетом, не под вашим. ACL који вашем кориснику даје потпуну контролу и ником другом не успева тамо, док савршено ради у вашој сесији. Профил који се држи на мапираном диску или аутентификованом дељењу не успева из истог разлога. Потврдите дозволе датотеке пре него што погледате било шта друго.

Провера је читање ефективних дозвола плус читање покушано као идентитет услуге. Први део покрените из подигнутог командног окна:

icacls "C:\VPN\profiles\office\office.ovpn"

Затим покушајте исто читање као идентитет услуге, на пример са psexec -s -i из Sysinternals-а, и гледајте да ли се датотека отвара. Ако се не отвара, никаква поправка путање неће помоћи. Поправите ACL или преместите профил на место које идентитет услуге може да чита.

Шифровање на нивоу датотеке је други, ређи случај. Профил означен атрибутом Encrypting File System дешифрује се транспарентно за корисника који га је шифровао и остаје нечитак за налог услуге. Зато се иста датотека отвара у вашем уређивачу, а не под услугом.

Атрибут је видљив из подигнутог командног окна, а његова провера не отвара профил. Покрените обе команде и прочитајте излаз:

cipher /s:"C:\VPN\profiles\office"
attrib "C:\VPN\profiles\office\office.ovpn"

Уклањање атрибута чини датотеку читљивом, а такође уклања заштиту коју је носила. Ако профил мора да остане заштићен, ставите тајни материјал тамо где идентитет услуге има изричито одобрење, уместо да се ослоните на шифровање по кориснику. Такав аранжман преживљава промену лозинке и чини приступ проверљивим за неког другог осим особе која је шифровала датотеку.

Одлучивање ко поседује тунел

GUI може да затражи лозинку и да прочита сертификат из вашег складишта корисника. Услуга не може ни једно ни друго, па профил који зависи од интерактивне тајне никада неће стартовати без надзора, колико год путање биле исправљене. То ограничење је пројектна одлука, а не дефект који треба заобилазити. Изаберите једног власника пре него што промените било шта друго.

Ако тунел мора да буде успостављен пре пријаве, дајте услузи извор акредитива без надзора и сопствену копију профила. Ако само треба да постоји док сте за столом, задржите га у GUI-ју и уклоните копију услуге. Оба одједном је конфигурација која производи сукобе адаптера и дуплиране руте.

Тај сукоб се обично дијагностикује као грешка у конфигурацији, а не као два власника која се боре за један адаптер. Дневник догађаја ће показати један процес који не успева да отвори TAP уређај, што изгледа као проблем с дозволама, а није. Прво пребројте власнике.

Шта омотач услуге заиста покреће

Улазна тачка услуге је мали омотач који чита сопствене сачуване параметре и затим покреће openvpn.exe. Када се командна линија у дневнику догађаја не слаже с вашим очекивањем, те вредности су оно што треба прегледати. Поновна инсталација их враћа на подразумеване вредности и уништава доказе. Прво их прочитајте.

Вредности живе у регистру под сопственим кључем услуге, а sc qc показује путању бинарног фајла коју ће менаџер услуга покренути. Упоредите ту путању са сачуваном конфигурацијом омотача пре него што уредите било коју.

Замена омотача скриптом коју контролишете је инвазивнија, али сажима ефективну командну линију у једну читљиву датотеку. Завршите поновним покретањем, затим читајте дневник по профилу док се не појави прва успешна линија стартовања. Стање услуге „покренуто“ само значи да омотач није изашао, што важи и када је његово дете одмах умрло.