Pokrenite OpenVPN na Windowsu bez davanja administratorskih prava korisnicima

Korisnik dvaput klikne na OpenVPN GUI, odobri UAC upit i ponovi isti ritual pri sljedećem ponovnom povezivanju. Upit nije greška u pakovanju: klijent stvara virtuelni adapter i mijenja tablicu rutiranja, a oboje su privilegovane promjene. Korisno pitanje je koja od tih prava korisniku zaista treba. Usluga plus usko delegiranje pokriva vezu bez dodjeljivanja administratorskog članstva.

Koje operacije zapravo zahtijevaju podizanje prava

Tunel završava na virtuelnom mrežnom interfejsu, a instaliranje tog interfejsa je operacija drajvera koja jednom zahtijeva administratorska prava. Nakon što adapter postoji, svaka veza i dalje upisuje rute i, zavisno od profila, mijenja DNS konfiguraciju. Ta dva koraka pokreću podizanje prava na običnom računu. Ništa u autentikaciji ni šifrovanju ne zahtijeva administratorska prava, i upravo zato se privilegija može odvojiti.

Odvojite vrijeme instalacije od vremena povezivanja prije nego što izaberete odobrenje. Oni imaju različite vlasnike i različit životni vijek.

Koristite uslugu kao privilegovanu komponentu

Podržani raspored pokreće Windows uslugu koja drži potrebna prava, a GUI traži od usluge da se poveže. Privilegovani kod tako nikada ne radi unutar korisničke sesije.

sc query OpenVPNService
sc qc OpenVPNService

Usluga koja radi i čija binarna putanja pokazuje na instalirani klijent prva je činjenica koju treba potvrditi prije bilo kakvog delegiranja. Usluga posjeduje adapter i rute, pa korisnik samo pokreće i zaustavlja vezu. To je oblik za zajedničke mašine, jer račun koji klikne na povezivanje ne drži stalnu privilegiju. Pročitajte deskriptor pomoću sc sdshow prije nego što ga uredite i sačuvajte provjereno ispravnu kopiju izlaza.

Delegirajte promjene ruta ugrađenoj grupi

Za klijenta koji mora raditi interaktivno, delegirana ugrađena grupa je Network Configuration Operators. Ona pokriva mrežne postavke i promjene ruta, isključujući instalaciju softvera i opći administrativni rad.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Dodavanje računa nije tiho: podrazumijevana politika i dalje podiže jedan upit po sesiji, pa odobrenje smanjuje šta podizanje prava može učiniti, a ne uklanja ga. Dokumentujte članstvo, jer se tiho gomila i gotovo se nikada ne pregleda. Na putu preko usluge, izmjena deskriptora pomoću sc sdset može delegirati pokretanje i zaustavljanje grupi, iako tipfeler u deskriptoru može uskratiti prava pokretanja svakom računu, a poništavanje zahtijeva administratora. Testirajte svaku izmjenu deskriptora na laboratorijskoj mašini prije nego što stigne na produkcijski host.

Provjerite s korisničkog računa

Konfiguracija izvršena u administratorskoj sesiji ne dokazuje ništa o računu koji će je koristiti. Prijavite se kao taj korisnik, povežite se i uporedite stanje mašine prije i poslije.

route print -4
Get-DnsClientServerAddress

Tablica ruta treba dobiti rute tunela, a resolver treba pokazivati na servere koje VPN pruža dok je veza aktivna. Nakon prekida oba izlaza treba da se poklope s kopijama koje ste prethodno snimili, i zato je važno snimiti ih prvo. Ažuriranja drajvera mogu vratiti zahtjev za administratorom, pa zabilježite verziju klijenta uz rezultat. Držite datoteke profila i ključeva čitljivim samo za račun koji ih koristi, umjesto da olabavite dozvole za zajedničku instalaciju.

Zapišite ko može pokrenuti tunel, koja grupa to odobrava i šta još uvijek zahtijeva administratora. Ta bilješka pretvara sljedeće ažuriranje klijenta u planirani posao, a ne u popodne nagađanja.