Что означает ERROR_ACCESS_DENIED при CreateFile для ovpn-dco, как разделить GUI, сервис, процесс и DCO, собрать минимальный redacted verb 4 log и не применять неподтверждённые ACL-команды.
Что известно и чего код 5 не доказывает
Microsoft определяет системный код 5 как ERROR_ACCESS_DENIED. Это надёжно описывает класс отказа операции CreateFile, но не устанавливает, какой именно объект, токен или список доступа вызвал его. В текущем issue maintainer подтвердил, что драйвер должен открываться из openvpn.exe, и увидел повтор отказа в чистом журнале. При этом нет опубликованного исправления и нет подтверждения, что ручная замена ACL безопасна для всех установок. Поэтому формулируйте симптом как отказ доступа при открытии DCO, а не как сломанную ACL.
Зафиксируйте матрицу режима запуска
Запишите версию OpenVPN, OpenVPN GUI, Windows, драйвера и способ установки. Затем отметьте два режима: обычный запуск пользователя и запуск через штатный Windows service wrapper, если он уже настроен. Не создавайте новый сервис ради теста и не повышайте права постоянно. Для каждого режима достаточно времени, результата подключения, наличия строки CreateFile и кода. Такая таблица отделяет GUI, служебный процесс и DCO-путь, не публикуя конфигурацию, адрес сервера, сертификаты или имя пользователя.
Соберите минимальный журнал для maintainer
Официальная документация OpenVPN описывает расположение логов при запуске как Windows service. Для текущего issue maintainer запросил чистое воспроизведение на verb 4. Оставьте несколько строк до и после первого отказа, версии и точное время. Удалите адреса, имена интерфейсов, пути профиля, common name, токены, сертификаты и содержимое конфигурации. Не прикладывайте полный ACL JSON или дамп security descriptor в публичную ветку: это выходит за минимальный пакет и может раскрыть устройство и локальные учётные записи.
DCO-контроль и критерии остановки
Manual OpenVPN документирует --disable-dco как отключение opportunistic Data Channel Offload. Этот флаг может быть коротким диагностическим контролем только в копии профиля и с разрешения администратора; он не является универсальным исправлением и меняет путь обработки трафика. Если без DCO симптом исчезает, зафиксируйте различие и вернитесь к исходной конфигурации. Остановитесь до любых icacls, PowerShell ACL workaround, переустановки драйвера или удаления устройства. Следующий безопасный шаг — передать redacted пакет в официальный issue и ждать подтверждённого релиза.
Материал подготовлен редакцией с помощью ИИ и вручную проверен по официальному manual и документации Microsoft; issue использован только как обезличенный сигнал и граница известного.
Источники и проверка
- OpenVPN 2.7 manual проверено 2026-08-06
- OpenVPN Windows service guide проверено 2026-08-06
- Microsoft system error codes проверено 2026-08-06
Информация актуальна на дату публикации. Правила сервисов, приложений и сетей могут меняться.