GUI ochadigan profilda OpenVPN xizmati ishlamaydi: beshta tekshiruv

Bitta mashinada ikkita ishga tushirgich bir xil profilni ochadi va faqat GUI ulanadi. Fayl butun, o‘rnatuvchi ham, ehtimol, joyida; farq har bir ishga tushirgichning openvpn.exe ga beradigan kontekstida. Ish katalogi, hisob identifikatori va fayl atributlari shu kontekst bilan birga yuradi. Ularni shu tartibda tekshiring va xatoni izohlaydigan birinchisida to‘xtang.

Qaysi ishga tushirgich ishlamayotganini tasdiqlang

Ajralishni isbotlashdan boshlang. Agar bir xil profil yo‘lida GUI ulanib, xizmat ulanmasa, faylni kimdir o‘qiy oladi va savol kim, qayerdan o‘qiydi degan savolga aylanadi. Agar ikkalasi ham ishlamasa, profil buzilgan va bu yerdagi hech narsa qo‘llanmaydi. Xizmat nomini va unga yuklash buyurilgan aniq profilni yozib qo‘ying.

O‘zining avtomatik ishga tushish katalogiga qaratilgan xizmat siz tahrirlovchida ochiq tutgan faylni yuklamayotgan bo‘lishi mumkin. Xizmat konfiguratsiyasidagi yo‘lni GUI dagi yo‘l bilan belgi-beligacha solishtiring, chunki oxiridagi papka nomi yoki boshqa disk harfi sizni noto‘g‘ri shoxobchaga olib kirishga yetadi.

Nisbiy yo‘llar qayerda hal qilinadi

Faqat nom bilan ca.crt yoki yordamchi skriptga havola qiladigan profil jarayon turgan joyga nisbatan qidirishni talab qiladi. GUI konfiguratsiya papkasida boshlanadi, shuning uchun bu nomlar hal qilinadi. Xizmat menejeri ishga tushiradigan xizmatda bunday boshlanish nuqtasi yo‘q va har qanday sertifikat o‘qilishidan oldin qidiruv muvaffaqiyatsiz tugaydi. Shu sabab bir xil profil bir ishga tushirgichda ishlaydi, boshqasida ishlamaydi.

O‘ramga boshlanadigan katalog bering yoki har bir havolani mutlaq qiling. GUI kontekstini buyruq satrida qayta yaratish shunday ko‘rinadi:

openvpn --cd "C:\VPN\profiles\office" --config "C:\VPN\profiles\office\office.ovpn"

Bu buyruqda batafsillikni oshirish urinib ko‘rilgan aniq yo‘lni ko‘rsatadi. Buni ruxsatlarni o‘zgartirishdan oldin qiling, chunki yo‘q fayl va rad etilgan o‘qish turli tuzatishlarni talab qiladi. Standart jurnal ularni ajratmaydi. Bitta qo‘shimcha bayroq bir soatlik taxminni tejaydi.

Xizmat identifikatori o‘qiy olmasa

Xizmat sizning emas, tizim identifikatoringiz ostida ishlaydi. Sizning foydalanuvchingizga to‘liq nazorat berib, boshqa hech kimga bermaydigan ACL sizning sessiyangizda bexato ishlaydi, u yerda esa ishlamaydi. Xaritalangan diskda yoki autentifikatsiyalangan umumiy katalogda saqlangan profil ham xuddi shu sababdan ishlamaydi. Boshqa narsaga qarashdan oldin fayl ruxsatlarini tasdiqlang.

Tekshiruv amaldagi ruxsatlarni o‘qish va xizmat identifikatori sifatida qilingan o‘qish urinishidan iborat. Birinchi qismni imtiyozli buyruq satridan ishga tushiring:

icacls "C:\VPN\profiles\office\office.ovpn"

So‘ngra xuddi shu o‘qishni xizmat identifikatori sifatida sinab ko‘ring, masalan, Sysinternals’dan psexec -s -i bilan, va fayl ochilishini kuzating. Agar ochilmasa, hech qanday yo‘l tuzatishi yordam bermaydi. ACL ni tuzating yoki profilni xizmat identifikatori o‘qiy oladigan joyga ko‘chiring.

Fayl darajasidagi shifrlash ikkinchi, kamroq uchraydigan holat. Encrypting File System atributi bilan belgilangan profil uni shifrlagan foydalanuvchi uchun shaffof ravishda deshifrlanadi va xizmat hisobi uchun o‘qilmas bo‘lib qoladi. Shu sabab bir xil fayl sizning tahrirlovchingizda ochiladi, xizmat ostida esa ochilmaydi.

Atribut imtiyozli buyruq satridan ko‘rinadi va uni tekshirish profilni ochmaydi. Ikkala buyruqni ham ishga tushiring va chiqishni o‘qing:

cipher /s:"C:\VPN\profiles\office"
attrib "C:\VPN\profiles\office\office.ovpn"

Atributni tozalash faylni o‘qiladigan qiladi va u olib yurgan himoyani ham olib tashlaydi. Agar profil himoyalangan bo‘lib qolishi kerak bo‘lsa, maxfiy materialni har bir foydalanuvchi shifrlashiga tayanmasdan, xizmat identifikatorida aniq ruxsat bo‘lgan joyga qo‘ying. Bunday tartib parol o‘zgarishidan omon qoladi va faylni shifrlagan shaxsdan boshqa birov ham ruxsatni ko‘rib chiqishi mumkin bo‘ladi.

Tunnel kimga tegishli ekanini hal qilish

GUI parolni so‘rashi va sertifikatni sizning foydalanuvchi omboringizdan o‘qishi mumkin. Xizmat ikkalasini ham qila olmaydi, shuning uchun interaktiv sirga bog‘liq profil yo‘llar qanday tuzatilmasin, hech qachon nazoratsiz ishga tushmaydi. Bu chegara dizayn qarori, aylanib o‘tish kerak bo‘lgan nuqson emas. Boshqa narsani o‘zgartirishdan oldin bitta egasini tanlang.

Agar tunnel tizimga kirishdan oldin ko‘tarilgan bo‘lishi shart bo‘lsa, xizmatga nazoratsiz hisob ma’lumotlari manbasini va profilning o‘z nusxasini bering. Agar u faqat siz stol yonida bo‘lganda mavjud bo‘lishi kerak bo‘lsa, uni GUI da saqlang va xizmat nusxasini olib tashlang. Ikkalasini birga saqlash adapter to‘qnashuvlari va takroriy marshrutlar keltiradigan konfiguratsiyadir.

Bu to‘qnashuv odatda bitta adapterni talashayotgan ikki egasi emas, balki konfiguratsiya xatosi sifatida aniqlanadi. Hodisalar jurnali bitta jarayonning TAP qurilmasini ocha olmaganini ko‘rsatadi, bu ruxsat muammosiga o‘xshaydi, lekin unday emas. Avval egalarni sanang.

Xizmat o‘rami aslida nimani ishga tushiradi

Xizmatning kirish nuqtasi kichik o‘ram bo‘lib, u o‘zining saqlangan parametrlarini o‘qiydi va so‘ng openvpn.exe ni ishga tushiradi. Hodisalar jurnalidagi buyruq satri sizning kutganingizga to‘g‘ri kelmasa, aynan o‘sha qiymatlarni tekshirish kerak. Qayta o‘rnatish ularni standart holatga qaytaradi va dalillarni yo‘q qiladi. Avval ularni o‘qing.

Qiymatlar reyestrda xizmatning o‘z kaliti ostida yashaydi va sc qc xizmat menejeri ishga tushiradigan ikkilik fayl yo‘lini ko‘rsatadi. Ikkalasidan birini tahrirlashdan oldin bu yo‘lni o‘ramning saqlangan konfiguratsiyasi bilan solishtiring.

O‘ramni o‘zingiz boshqaradigan skript bilan almashtirish ko‘proq aralashuvni talab qiladi, lekin u amaldagi buyruq satrini bitta o‘qiladigan faylga jamlaydi. Qayta ishga tushirish bilan yakunlang, so‘ng birinchi muvaffaqiyatli ishga tushish satri paydo bo‘lguncha profil bo‘yicha jurnalni o‘qing. Xizmatning “ishlayapti” holati faqat o‘ram hali chiqmaganini bildiradi, bu uning bolasi darhol o‘lgan holatda ham to‘g‘ri.