Voer OpenVPN op Windows uit sonder om gebruikers administrateurs te maak

'n Gebruiker dubbelklik die OpenVPN-GUI, keur 'n UAC-opdrag goed en herhaal dieselfde ritueel by die volgende herverbinding. Die opdrag is nie 'n verpakkingsfout nie: die kliënt skep 'n virtuele adapter en wysig die roeteringstabel, en albei is bevoorregte veranderinge. Die nuttige vraag is watter van daardie regte die gebruiker werklik nodig het. 'n Diens plus 'n smal delegasie dek die verbinding sonder om administrateurskap uit te deel.

Watter bewerkings vereis werklik verhoging

Die tonnel eindig op 'n virtuele netwerkkoppelvlak, en die installering van daardie koppelvlak is 'n drywerbewerking wat een keer administrateursregte nodig het. Nadat die adapter bestaan, skryf elke verbinding steeds roetes en, afhangende van die profiel, verander dit die DNS-konfigurasie. Daardie twee stappe is wat verhoging op 'n gewone rekening veroorsaak. Niks in verifikasie of enkripsie het administrateursregte nodig nie, en dit is juis waarom die voorreg afgesplit kan word.

Skei installasietyd van verbindingstyd voordat jy 'n toekenning kies. Hulle het verskillende eienaars en verskillende leeftye.

Gebruik die diens as die bevoorregte komponent

Die ondersteunde reëling laat 'n Windows-diens loop wat die vereiste regte hou, met 'n GUI wat die diens vra om te verbind. Bevoorregte kode loop dan nooit binne die gebruiker se sessie nie.

sc query OpenVPNService
sc qc OpenVPNService

'n Lopende diens waarvan die binariese pad na die geïnstalleerde kliënt wys, is die eerste feit om te bevestig voordat jy iets delegeer. Die diens besit die adapter en die roetes, so die gebruiker begin en stop net 'n verbinding. Dit is die vorm om op gedeelde masjiene te gebruik, want die rekening wat op verbind klik, hou geen staande voorreg nie. Lees die beskrywer met sc sdshow voordat jy dit wysig, en hou 'n bekende-goeie kopie van die uitset.

Delegeer roeteveranderinge met 'n ingeboude groep

Vir 'n kliënt wat interaktief moet loop, is die gedelegeerde ingeboude groep Network Configuration Operators. Dit dek netwerkinstellings en roeteveranderinge terwyl sagteware-installasie en algemene administratiewe werk uitgesluit word.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Die toevoeging van die rekening is nie stil nie: die verstekbeleid lig steeds een opdrag per sessie, so die toekenning verminder wat verhoging kan doen eerder as om dit te verwyder. Dokumenteer die lidmaatskap, want dit hoop stil op en word byna nooit hersien nie. Op die diensroete kan 'n beskrywerwysiging met sc sdset begin en stop aan 'n groep delegeer, hoewel 'n tikfout in die beskrywer beginregte aan elke rekening kan weier, en om dit ongedaan te maak 'n administrateur vereis. Toets enige beskrywerverandering op 'n laboratoriummasjien voordat dit 'n produksiemasjien bereik.

Verifieer vanaf die gebruikerrekening

Konfigurasie wat in 'n administrateursessie gedoen is, bewys niks oor die rekening wat dit sal gebruik nie. Meld aan as daardie gebruiker, verbind en vergelyk die masjiintoestand voor en ná.

route print -4
Get-DnsClientServerAddress

Die roetertabel behoort die tonnelroetes by te kry, en die resolver behoort na die bedieners te wys wat die VPN verskaf terwyl daar verbind is. Ná die ontkoppeling behoort albei uitsette te pas by die kopieë wat jy vooraf geneem het, en dit is waarom dit saak maak om hulle eerste te neem. Dryweropdaterings kan die administrateursvereiste weer invoer, so teken die kliëntweergawe langs die resultaat aan. Hou profiel- en sleutellêers net leesbaar vir die rekening wat hulle gebruik, eerder as om toestemmings vir 'n gedeelde installasie te verslap.

Skryf neer wie die tonnel kan begin, watter groep dit toestaan en wat steeds 'n administrateur nodig het. Daardie nota maak die volgende kliëntopdatering beplande werk in plaas van 'n middag van raai.