Spouštějte OpenVPN ve Windows, aniž byste z uživatelů dělali správce

Uživatel dvakrát klikne na OpenVPN GUI, schválí výzvu UAC a při dalším připojení zopakuje stejný rituál. Výzva není chyba balení: klient vytváří virtuální adaptér a upravuje směrovací tabulku a obojí jsou privilegované změny. Užitečná otázka je, která z těchto práv uživatel skutečně potřebuje. Služba a úzké delegování pokryjí připojení, aniž by rozdávaly členství správce.

Které operace skutečně vyžadují zvýšení oprávnění

Tunel končí na virtuálním síťovém rozhraní a instalace tohoto rozhraní je operace ovladače, která jednou vyžaduje práva správce. Poté, co adaptér existuje, každé připojení stále zapisuje trasy a podle profilu mění konfiguraci DNS. Právě tyto dva kroky spouštějí zvýšení oprávnění na běžném účtu. Nic v ověřování ani šifrování práva správce nevyžaduje, a proto lze oprávnění oddělit.

Oddělte dobu instalace od doby připojení, než zvolíte udělení. Mají různé vlastníky a různou životnost.

Použijte službu jako privilegovanou komponentu

Podporované uspořádání spouští službu Windows, která drží potřebná práva, a GUI žádá službu o připojení. Privilegovaný kód tak nikdy neběží uvnitř uživatelské relace.

sc query OpenVPNService
sc qc OpenVPNService

Běžící služba, jejíž binární cesta ukazuje na nainstalovaného klienta, je první fakt, který je třeba potvrdit, než cokoli delegujete. Služba vlastní adaptér i trasy, takže uživatel jen spouští a zastavuje připojení. To je podoba pro sdílené počítače, protože účet, který klikne na připojení, nedrží žádné trvalé oprávnění. Přečtěte deskriptor pomocí sc sdshow před úpravou a uložte známou dobrou kopii výstupu.

Delegujte změny tras vestavěné skupině

Pro klienta, který musí běžet interaktivně, je delegovaná vestavěná skupina Network Configuration Operators. Pokrývá síťová nastavení a změny tras, zatímco vylučuje instalaci softwaru a obecnou administrativní práci.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Přidání účtu není tiché: výchozí zásada stále vyvolá jednu výzvu za relaci, takže udělení snižuje, co zvýšení oprávnění může udělat, místo aby je odstranilo. Zdokumentujte členství, protože se tiše hromadí a téměř nikdy se nepřezkoumává. Na cestě přes službu může úprava deskriptoru pomocí sc sdset delegovat spuštění a zastavení skupině, i když překlep v deskriptoru může odebrat práva spuštění všem účtům a vrátit to vyžaduje správce. Otestujte každou změnu deskriptoru na laboratorním počítači, než se dostane na produkční hostitel.

Ověřte z uživatelského účtu

Konfigurace provedená v relaci správce nic nedokazuje o účtu, který ji bude používat. Přihlaste se jako tento uživatel, připojte se a porovnejte stav počítače před a po.

route print -4
Get-DnsClientServerAddress

Směrovací tabulka by měla získat trasy tunelu a překladač by měl ukazovat na servery, které VPN poskytuje během připojení. Po odpojení by oba výstupy měly odpovídat kopiím, které jste pořídili předem, a proto je důležité pořídit je nejdřív. Aktualizace ovladačů mohou požadavek na správce vrátit, proto zapište verzi klienta vedle výsledku. Soubory profilu a klíčů držte čitelné jen pro účet, který je používá, místo abyste uvolňovali oprávnění pro sdílenou instalaci.

Zapište, kdo může tunel spustit, která skupina to uděluje a co stále vyžaduje správce. Ta poznámka promění příští aktualizaci klienta v plánovanou práci místo odpoledne hádání.