تشغيل OpenVPN على Windows دون جعل المستخدمين مسؤولين

ينقر المستخدم نقرًا مزدوجًا على واجهة OpenVPN، ويوافق على مطالبة UAC، ثم يكرر الطقس نفسه عند إعادة الاتصال التالية. ليست المطالبة خطأ في التغليف: فالعميل ينشئ محولًا افتراضيًا ويعدل جدول التوجيه، وكلاهما تغيير يتطلب امتيازًا. والسؤال المفيد هو أي هذه الحقوق يحتاجه المستخدم فعلًا. وتغطي خدمة واحدة مع تفويض ضيق الاتصال دون منح عضوية المسؤول.

أي العمليات تتطلب رفع الصلاحيات فعلًا

ينتهي النفق عند واجهة شبكة افتراضية، وتثبيت تلك الواجهة عملية برنامج تشغيل تحتاج إلى حقوق مسؤول مرة واحدة. بعد وجود المحول، لا يزال كل اتصال يكتب المسارات، ويعيد ضبط تكوين DNS بحسب الملف الشخصي. وهاتان الخطوتان هما ما يستدعي رفع الصلاحيات في حساب عادي. ولا يحتاج أي شيء في المصادقة أو التشفير إلى حقوق مسؤول، ولهذا بالضبط يمكن فصل الامتياز.

افصل وقت التثبيت عن وقت الاتصال قبل اختيار المنح. لكل منهما مالك مختلف وعمر مختلف.

استخدم الخدمة كمكوّن ذي امتياز

الترتيب المدعوم يشغّل خدمة Windows تحمل الحقوق المطلوبة، مع واجهة رسومية تطلب من الخدمة الاتصال. وبذلك لا تعمل شيفرة ذات امتياز أبدًا داخل جلسة المستخدم.

sc query OpenVPNService
sc qc OpenVPNService

الخدمة العاملة التي يشير مسار ملفها التنفيذي إلى العميل المثبت هي أول حقيقة يجب تأكيدها قبل تفويض أي شيء. الخدمة تملك المحول والمسارات، لذا يقتصر المستخدم على بدء الاتصال وإيقافه. هذا هو الشكل المناسب للأجهزة المشتركة، لأن الحساب الذي ينقر على الاتصال لا يحمل أي امتياز دائم. اقرأ الواصف باستخدام sc sdshow قبل تعديله، واحفظ نسخة سليمة معروفة من المخرجات.

فوّض تغييرات المسارات عبر مجموعة مضمنة

بالنسبة إلى عميل يجب أن يعمل تفاعليًا، فإن المجموعة المضمنة المفوّضة هي Network Configuration Operators. وهي تغطي إعدادات الشبكة وتغييرات المسارات مع استثناء تثبيت البرامج والعمل الإداري العام.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

إضافة الحساب ليست صامتة: لا تزال السياسة الافتراضية ترفع مطالبة واحدة لكل جلسة، لذا يقلل المنح ما يمكن لرفع الصلاحيات فعله بدلًا من إزالته. وثّق العضوية، لأنها تتراكم بهدوء ولا تُراجَع تقريبًا أبدًا. وفي مسار الخدمة، يمكن لتعديل الوصف باستخدام sc sdset أن يفوّض البدء والإيقاف لمجموعة، غير أن خطأ مطبعيًا في الواصف قد يمنع حقوق البدء عن كل حساب، وإلغاء ذلك يتطلب مسؤولًا. اختبر أي تغيير في الواصف على جهاز مختبر قبل أن يصل إلى مضيف إنتاجي.

تحقق من حساب المستخدم

الإعداد الذي يُجرى في جلسة مسؤول لا يثبت شيئًا عن الحساب الذي سيستخدمه. سجّل الدخول بذلك المستخدم، واتصل، وقارن حالة الجهاز قبل وبعد.

route print -4
Get-DnsClientServerAddress

ينبغي أن يكتسب جدول التوجيه مسارات النفق، وأن يشير المحلل إلى الخوادم التي يوفرها VPN أثناء الاتصال. بعد قطع الاتصال ينبغي أن يطابق المخرجان النسخ التي التقطتها مسبقًا، ولهذا يهم التقاطها أولًا. يمكن لتحديثات برنامج التشغيل أن تعيد شرط المسؤول، لذا سجّل إصدار العميل بجانب النتيجة. أبقِ ملفات الملف الشخصي والمفاتيح مقروءة فقط للحساب الذي يستخدمها بدلًا من تخفيف الأذونات لتثبيت مشترك.

دوّن من يمكنه بدء النفق، وأي مجموعة تمنحه، وما لا يزال يحتاج إلى مسؤول. تلك الملاحظة تحوّل تحديث العميل التالي إلى عمل مخطط بدلًا من ظهيرة من التخمين.