Buen día a todos,
Tengo problemas para que la aplicación GUI OpenVPN agregue rutas a un cliente de Windows 7. Estoy usando el mismo archivo de configuración que usé en un cliente de Windows XP, excepto que agregué las dos líneas siguientes:
route-method exe
route-delay 2
Puedo establecer una conexión y se me asigna una dirección IP del grupo 10.8.0.0, lo que me hace parecer que el túnel está activo. Pero al observar el registro a continuación, parece que las rutas no se están agregando en la máquina con Windows 7.
Fri Sep 13 16:02:44 2013 OpenVPN 2.3.2 x86_64-w64-mingw32 [SSL (OpenSSL)] [LZO] [PKCS11] [eurephia] [IPv6] built on Aug 22 2013
Fri Sep 13 16:02:44 2013 MANAGEMENT: TCP Socket listening on [AF_INET]127.0.0.1:25340
Fri Sep 13 16:02:44 2013 Need hold release from management interface, waiting...
Fri Sep 13 16:02:45 2013 MANAGEMENT: Client connected from [AF_INET]127.0.0.1:25340
Fri Sep 13 16:02:45 2013 MANAGEMENT: CMD 'state on'
Fri Sep 13 16:02:45 2013 MANAGEMENT: CMD 'log all on'
Fri Sep 13 16:02:45 2013 MANAGEMENT: CMD 'hold off'
Fri Sep 13 16:02:45 2013 MANAGEMENT: CMD 'hold release'
Fri Sep 13 16:02:48 2013 MANAGEMENT: CMD 'username "Auth" "username"'
Fri Sep 13 16:02:48 2013 MANAGEMENT: CMD 'password [...]'
Fri Sep 13 16:02:49 2013 Control Channel Authentication: using 'ta.key' as a OpenVPN static key file
Fri Sep 13 16:02:49 2013 Outgoing Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Fri Sep 13 16:02:49 2013 Incoming Control Channel Authentication: Using 160 bit message hash 'SHA1' for HMAC authentication
Fri Sep 13 16:02:49 2013 Socket Buffers: R=[8192->8192] S=[261360->261360]
Fri Sep 13 16:02:49 2013 UDPv4 link local: [undef]
Fri Sep 13 16:02:49 2013 UDPv4 link remote: [AF_INET]501.2.984.233:1194
Fri Sep 13 16:02:49 2013 MANAGEMENT: >STATE:1379102569,WAIT,,,
Fri Sep 13 16:02:49 2013 MANAGEMENT: >STATE:1379102569,AUTH,,,
Fri Sep 13 16:02:49 2013 TLS: Initial packet from [AF_INET]501.2.984.233:1194, sid=82453eea 30481972
Fri Sep 13 16:02:49 2013 WARNING: this configuration may cache passwords in memory -- use the auth-nocache option to prevent this
Fri Sep 13 16:02:49 2013 VERIFY OK: depth=1, O=Central Truck Center, Inc., OU=IT/Systems Department, [email protected], L=Landover, ST=MD, C=US, CN=ca.centraltruck.net
Fri Sep 13 16:02:49 2013 VERIFY OK: nsCertType=SERVER
Fri Sep 13 16:02:49 2013 VERIFY OK: depth=0, C=US, ST=MD, O=Central Truck Center, Inc., OU=IT/Systems Department, L=Landover, CN=centraltruck.net, [email protected]
Fri Sep 13 16:02:49 2013 Data Channel Encrypt: Cipher 'BF-CBC' initialized with 128 bit key
Fri Sep 13 16:02:49 2013 Data Channel Encrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Fri Sep 13 16:02:49 2013 Data Channel Decrypt: Cipher 'BF-CBC' initialized with 128 bit key
Fri Sep 13 16:02:49 2013 Data Channel Decrypt: Using 160 bit message hash 'SHA1' for HMAC authentication
Fri Sep 13 16:02:49 2013 Control Channel: TLSv1, cipher TLSv1/SSLv3 DHE-RSA-AES256-SHA, 2048 bit RSA
Fri Sep 13 16:02:49 2013 [centraltruck.net] Peer Connection Initiated with [AF_INET]50.242.184.133:1194
Fri Sep 13 16:02:50 2013 MANAGEMENT: >STATE:1379102570,GET_CONFIG,,,
Fri Sep 13 16:02:51 2013 SENT CONTROL [centraltruck.net]: 'PUSH_REQUEST' (status=1)
Fri Sep 13 16:02:51 2013 PUSH: Received control message: 'PUSH_REPLY,dhcp-option DNS 172.23.6.127,dhcp-option WINS 172.23.6.127,dhcp-option DOMAIN centraltruck.net,ip-win32 dynamic,route 172.23.6.0 255.255.255.0,route 172.23.7.0 255.255.255.0,route 208.197.153.0 255.255.255.0,route 10.8.0.0 255.255.255.0,topology net30,ping 10,ping-restart 120,ifconfig 10.8.0.6 10.8.0.5'
Fri Sep 13 16:02:51 2013 OPTIONS IMPORT: timers and/or timeouts modified
Fri Sep 13 16:02:51 2013 OPTIONS IMPORT: --ifconfig/up options modified
Fri Sep 13 16:02:51 2013 OPTIONS IMPORT: route options modified
Fri Sep 13 16:02:51 2013 OPTIONS IMPORT: --ip-win32 and/or --dhcp-option options modified
Fri Sep 13 16:02:52 2013 do_ifconfig, tt->ipv6=0, tt->did_ifconfig_ipv6_setup=0
Fri Sep 13 16:02:52 2013 MANAGEMENT: >STATE:1379102572,ASSIGN_IP,,10.8.0.6,
Fri Sep 13 16:02:52 2013 open_tun, tt->ipv6=0
Fri Sep 13 16:02:52 2013 TAP-WIN32 device [Local Area Connection 3] opened: \\.\Global\{19F13E2F-B3F0-4E85-A8A2-E3C86ADD1987}.tap
Fri Sep 13 16:02:52 2013 TAP-Windows Driver Version 9.9
Fri Sep 13 16:02:52 2013 Notified TAP-Windows driver to set a DHCP IP/netmask of 10.8.0.6/255.255.255.252 on interface {19F13E2F-B3F0-4E85-A8A2-E3C86ADD1987} [DHCP-serv: 10.8.0.5, lease-time: 31536000]
Fri Sep 13 16:02:52 2013 Successful ARP Flush on interface [41] {19F13E2F-B3F0-4E85-A8A2-E3C86ADD1987}
Fri Sep 13 16:02:54 2013 TEST ROUTES: 0/0 succeeded len=4 ret=0 a=0 u/d=down
Fri Sep 13 16:02:54 2013 Route: Waiting for TUN/TAP interface to come up...
Las últimas dos líneas anteriores se repetirán unas 30 veces y luego aparecerá un aviso que muestra que la VPN está conectada con una IP de 10.8.0.6. La última línea del registro, sin embargo, muestra esto:
Fri Sep 13 16:03:24 2013 Initialization Sequence Completed With Errors ( see http://openvpn.net/faq.html#dhcpclientserv )
Fri Sep 13 16:03:24 2013 MANAGEMENT: >STATE:1379102604,CONNECTED,ERROR,10.8.0.6,50.242.184.133
Varias búsquedas en Google revelan que necesitaba ejecutar la aplicación con privilegios de administrador. Lo estoy haciendo e incluso intenté ejecutar la aplicación en modo de compatibilidad con Windows Vista. Por alguna extraña razón, Windows XP no es una opción que puedo seleccionar. ¿Se me escapa algo? Mi configuración, sin las dos líneas de las que les hablé antes, funciona perfectamente bien en Windows XP. Además, funciona bien en la máquina con Windows 7 si uso el cliente OpenVPN (y no la GUI de OpenVPN).
Espero que alguien se haya encontrado con este problema antes y pueda ofrecer ayuda. Gracias.
Respuesta1
Tiene que ver con permisos. Ejecute como administrador con el UAC deshabilitado y funcionará. Tienes que desactivar la UAC.
O puede ejecutar la VPN como un servicio y se conectará y agregará rutas correctamente.
modo de compatibilidad
Eso no hará la diferencia.
Respuesta2
Hola a todos,
Estoy realmente agradecido por la ayuda de Zoredache y David Mackintosh. Ambos ofrecieron sugerencias que me indicaron la dirección correcta.
Deshabilitar el UAC por completo funcionó para mí, así como modificar el binario openvpn-gui para que siempre se ejecute como administrador para todos los usuarios. Desafortunadamente, sin embargo, no me sentía cómodo con que mis usuarios deshabilitaran el UAC permanentemente, o con el reinicio obligatorio que se debe realizar cada vez que el UAC se habilita o deshabilita. Esto significaba un reinicio cada vez que usaban la VPN y se desconectaban de ella.
Entonces busqué soluciones adicionales y encontré varias que sugerían deshabilitar el UAC solo para administradores. Dado que la mayoría de mis usuarios que necesitan una VPN generalmente serán administradores locales en sus computadoras portátiles, pensé que esta solución funcionaría. Así que lo probé y funcionó. Aquí está mi solución final.
Creé dos archivos .reg separados para modificar el registro del sistema de la siguiente manera:
ARCHIVO DE REGISTRO #1: DesactivarUACforAdmin
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
"ConsentPromptBehaviorAdmin"=dword:00000000
ARCHIVO DE REGISTRO #2: HabilitarUACforAdmin
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System]
"ConsentPromptBehaviorAdmin"=dword:00000002
Para que esto funcione, tuve que ejecutar OpenVPN GUI como administrador. Gracias a la sugerencia de David Mackintosh, modifiqué el archivo exe para que siempre se ejecute como administrador para todos los usuarios. Ahora, el tiempo era clave: necesitaba asegurarme de que el UAC estuviera desactivado incluso antes de que se iniciara la conexión VPN. Afortunadamente, la GUI de OpenVPN admite la creación de un script de preconexión simplemente creando un archivo por lotes con el mismo nombre que el archivo de configuración con el sufijo_pre.
Así que creé mi script de preconexión para llamar a miDeshabilitar UAC para administradorguión de la siguiente manera:
regedit.exe /s DisableUACforAdmin.reg
Finalmente, creé un script inactivo para volver a habilitar el UAC cuando el túnel VPN está desconectado, devolviendo así la máquina del usuario al estado original.
Esto es lo que hice:
regedit.exe /s EnableUACforAdmin.reg
Con esto, la GUI de OpenVPN se ejecuta sin problemas, las rutas se envían desde el servidor y se configuran correctamente en el cliente de Windows 7. Probé esto en varias máquinas con Windows 7 y todas funcionan. Al hacerlo de esta manera, evito el reinicio obligatorio que conlleva deshabilitar la UAC. Gracias de nuevo por toda la ayuda. Espero que esto beneficie a alguien que tenga el mismo problema que tuve.
NOTA FINAL: Me di cuenta de que la GUI de OpenVPN proporcionada enhttp://openvpn.seNo le gustan algunas de las directivas en el archivo de configuración (comoseguridad de scriptodirección clave) y no se iniciará a menos que los comente. Puede que esto no sea cierto para todos, pero tuve que usar la GUI de OpenVPN que viene conversión 2.3.2 de OpenVPN
Respuesta3
Para que funcione para mí, voy al binario openvpn-gui, seleccionoPropiedades, seleccionarCambiar la configuración para todos los usuariosy haga clicEjecute este programa como administradoren esa ventana. Detenga y reinicie Openvpn-gui.
Respuesta4
Puede aplicarse o no a la versión en cuestión: OpenVPN con Sophos SSL VPN también tuvo un problema en el que el servicio "OpenVPN Interactive Service" no se iniciaba correctamente en el arranque. La máquina cliente era una Lenovo Thinkpad T530 y venía con servicios preinstalados de Lenovo que estaban causando el problema.
Servicios en cuestión: Fastboot HyperW7
El problema fue menos pronunciado después de ejecutar las actualizaciones de Lenovo e Intel, pero ocasionalmente el "Servicio interactivo OpenVPN" expiraba al iniciar la computadora.
Si desactiva los dos servicios de Lenovo anteriores, entonces se podrá iniciar el "Servicio interactivo OpenVPN". Parece que los programadores de Lenovo juguetean con lo que se permite iniciar y lo que se puede pausar en el arranque no funciona bien con OpenVPN.
Una vez que se permite que el "Servicio interactivo OpenVPN" se ejecute correctamente al inicio, podrá permitir que OpenVPN confirme las rutas incluso con un usuario estándar conectado.
No es necesario "Ejecutar como administrador" ni elevar los privilegios de una cuenta de usuario.