Executeu OpenVPN a Windows sense fer que els usuaris siguin administradors

Un usuari fa doble clic a la GUI d’OpenVPN, aprova una sol·licitud UAC i repeteix el mateix ritual a la següent reconnexió. La sol·licitud no és un error d’empaquetatge: el client crea un adaptador virtual i edita la taula d’encaminament, i tots dos són canvis privilegiats. La pregunta útil és quins d’aquests drets necessita realment l’usuari. Un servei més una delegació estreta cobreix la connexió sense repartir la pertinença d’administrador.

Quines operacions requereixen realment elevació

El túnel acaba en una interfície de xarxa virtual, i instal·lar aquesta interfície és una operació de controlador que necessita drets d’administrador una vegada. Un cop existeix l’adaptador, cada connexió encara escriu rutes i, segons el perfil, canvia la configuració de DNS. Aquests dos passos són els que provoquen l’elevació en un compte ordinari. Res en l’autenticació ni en el xifratge no necessita drets d’administrador, i per això mateix el privilegi es pot separar.

Separeu el moment d’instal·lació del moment de connexió abans de triar una concessió. Tenen propietaris i vides diferents.

Utilitzeu el servei com a component privilegiat

La disposició admesa executa un servei de Windows que té els drets necessaris, amb una GUI que demana al servei que es connecti. Així el codi privilegiat no s’executa mai dins de la sessió de l’usuari.

sc query OpenVPNService
sc qc OpenVPNService

Un servei en marxa el camí binari del qual apunta al client instal·lat és el primer fet a confirmar abans de delegar res. El servei posseeix l’adaptador i les rutes, de manera que l’usuari només inicia i atura una connexió. Aquesta és la forma que cal fer servir en màquines compartides, perquè el compte que fa clic a connectar no té cap privilegi permanent. Llegiu el descriptor amb sc sdshow abans d’editar-lo, i conserveu una còpia bona coneguda de la sortida.

Delegueu els canvis de ruta amb un grup integrat

Per a un client que ha de funcionar de manera interactiva, el grup integrat delegat és Network Configuration Operators. Cobreix la configuració de xarxa i els canvis de ruta mentre exclou la instal·lació de programari i la feina administrativa general.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Afegir el compte no és silenciós: la política per defecte encara aixeca una sol·licitud per sessió, així que la concessió redueix què pot fer l’elevació en lloc d’eliminar-la. Documenteu la pertinença, perquè s’acumula en silenci i gairebé mai es revisa. A la via del servei, una edició del descriptor amb sc sdset pot delegar l’inici i l’aturada a un grup, tot i que una errata al descriptor pot negar els drets d’inici a tots els comptes, i desfer-ho requereix un administrador. Proveu qualsevol canvi de descriptor en una màquina de laboratori abans que arribi a un equip de producció.

Verifiqueu des del compte d’usuari

La configuració feta en una sessió d’administrador no demostra res sobre el compte que la farà servir. Inicieu sessió com a aquest usuari, connecteu-vos i compareu l’estat de la màquina abans i després.

route print -4
Get-DnsClientServerAddress

La taula d’encaminament hauria de guanyar les rutes del túnel, i el resolutor hauria d’apuntar als servidors que el VPN proporciona mentre esteu connectat. Després de desconnectar, totes dues sortides haurien de coincidir amb les còpies que vau capturar abans, i per això és important capturar-les primer. Les actualitzacions de controladors poden reintroduir el requisit d’administrador, així que anoteu la versió del client al costat del resultat. Manteniu els fitxers de perfil i de claus llegibles només pel compte que els utilitza, en lloc d’afluixar els permisos per a una instal·lació compartida.

Anoteu qui pot iniciar el túnel, quin grup ho concedeix i què encara necessita un administrador. Aquesta nota converteix la propera actualització del client en feina planificada en lloc d’una tarda d’endevinalles.