İstifadəçiləri administrator etmədən Windows-da OpenVPN işə salın

İstifadəçi OpenVPN GUI-ni iki dəfə klikləyir, UAC sorğusunu təsdiqləyir və növbəti yenidən qoşulmada eyni ritualı təkrarlayır. Sorğu qablaşdırma səhvi deyil: müştəri virtual adapter yaradır və marşrutlaşdırma cədvəlini dəyişir, hər ikisi imtiyazlı dəyişikliklərdir. Faydalı sual istifadəçinin bu hüquqlardan hansına həqiqətən ehtiyacı olmasıdır. Bir xidmət və dar səlahiyyətvermə administrator üzvlüyü vermədən bağlantını təmin edir.

Hansı əməliyyatlar həqiqətən imtiyaz artımı tələb edir

Tunel virtual şəbəkə interfeysində bitir və bu interfeysin quraşdırılması bir dəfə administrator hüquqları tələb edən sürücü əməliyyatıdır. Adapter mövcud olduqdan sonra hər bağlantı yenə də marşrutlar yazır və profildən asılı olaraq DNS konfiqurasiyasını dəyişir. Adi hesabda imtiyaz artımını məhz bu iki addım tetikləyir. Autentifikasiya və ya şifrələmədə heç nə administrator hüquqları tələb etmir, imtiyazın ayrıla bilməsinin səbəbi də elə budur.

İcazə seçməzdən əvvəl quraşdırma vaxtını qoşulma vaxtından ayırın. Onların sahibləri və ömürləri fərqlidir.

Xidməti imtiyazlı komponent kimi istifadə edin

Dəstəklənən quruluş tələb olunan hüquqları saxlayan Windows xidmətini işə salır, GUI isə xidmətdən qoşulmağı xahiş edir. Beləliklə imtiyazlı kod heç vaxt istifadəçi sessiyasının içində işləmir.

sc query OpenVPNService
sc qc OpenVPNService

Binar yolu quraşdırılmış müştəriyə işarə edən işləyən xidmət, hər hansı səlahiyyət verməzdən əvvəl təsdiqlənməli ilk faktdır. Adapter və marşrutlar xidmətə aiddir, ona görə istifadəçi yalnız bağlantını başladır və dayandırır. Paylaşılan maşınlarda istifadə edilməli quruluş budur, çünki qoşulmağa klikləyən hesabın daimi imtiyazı yoxdur. Deskriptoru sc sdshow ilə oxuyun, sonra redaktə edin və çıxışın etibarlı surətini saxlayın.

Marşrut dəyişikliklərini daxili qrupla səlahiyyətləndirin

İnteraktiv işləməli olan müştəri üçün səlahiyyət verilən daxili qrup Network Configuration Operators-dur. O, şəbəkə parametrlərini və marşrut dəyişikliklərini əhatə edir, proqram quraşdırılmasını və ümumi inzibati işi istisna edir.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Hesabın əlavə edilməsi səssiz deyil: standart siyasət hər sessiyada yenə bir sorğu qaldırır, yəni icazə imtiyaz artımının nə edə biləcəyini azaldır, onu aradan qaldırmır. Üzvlüyü sənədləşdirin, çünki o, səssizcə yığılır və demək olar ki, heç vaxt nəzərdən keçirilmir. Xidmət yolunda sc sdset ilə deskriptor redaktəsi başlatma və dayandırmanı qrupa həvalə edə bilər, lakin deskriptorda yazı səhvi hər hesabın başlatma hüququndan imtina edə bilər və bunu geri qaytarmaq üçün administrator lazımdır. Hər hansı deskriptor dəyişikliyini istehsal hostuna çatmazdan əvvəl laboratoriya maşınında sınaqdan keçirin.

İstifadəçi hesabından yoxlayın

Administrator sessiyasında aparılan konfiqurasiya ondan istifadə edəcək hesab haqqında heç nə sübut etmir. Həmin istifadəçi kimi daxil olun, qoşulun və maşının vəziyyətini əvvəl və sonra müqayisə edin.

route print -4
Get-DnsClientServerAddress

Marşrut cədvəli tunel marşrutlarını qazanmalı, həlledici isə qoşulma zamanı VPN-in təqdim etdiyi serverlərə işarə etməlidir. Bağlantı kəslidikdən sonra hər iki çıxış əvvəlcədən götürdüyünüz surətlərlə uyğun olmalıdır, buna görə onları əvvəlcə götürmək vacibdir. Sürücü yeniləmələri administrator tələbini yenidən gətirə bilər, ona görə müştəri versiyasını nəticənin yanında qeyd edin. Profil və açar fayllarını paylaşılan quraşdırma üçün icazələri yumşaltmaq əvəzinə yalnız onlardan istifadə edən hesab üçün oxunaqlı saxlayın.

Tuneli kimin başlada biləcəyini, hansı qrupun buna icazə verdiyini və nəyin hələ də administrator tələb etdiyini yazın. Bu qeyd növbəti müştəri yeniləməsini təxminlərdən ibarət bir günorta əvəzinə planlı işə çevirir.