Rhedeg OpenVPN ar Windows heb wneud defnyddwyr yn weinyddwyr

Mae defnyddiwr yn clicio ddwywaith ar GUI OpenVPN, yn cymeradwyo anogiad UAC, ac yn ailadrodd yr un ddefod ar yr ailgysylltiad nesaf. Nid camgymeriad pecynnu yw’r anogiad: mae’r cleient yn creu addasydd rhithwir ac yn golygu’r tabl llwybreiddio, ac mae’r ddau yn newidiadau breiniol. Y cwestiwn defnyddiol yw pa rai o’r hawliau hynny sydd eu hangen ar y defnyddiwr mewn gwirionedd. Mae gwasanaeth ynghyd â dirprwyaeth gul yn cwmpasu’r cysylltiad heb ddosbarthu aelodaeth weinyddol.

Pa weithrediadau sydd wir angen codi hawliau

Mae’r tiwnel yn gorffen ar ryngwyneb rhwydwaith rhithwir, ac mae gosod y rhyngwyneb hwnnw yn weithred gyrrwr sydd angen hawliau gweinyddol unwaith. Ar ôl i’r addasydd fodoli, mae pob cysylltiad yn dal i ysgrifennu llwybrau ac, yn dibynnu ar y proffil, yn newid ffurfweddiad DNS. Y ddau gam hyn sy’n achosi codi hawliau ar gyfrif cyffredin. Nid oes unrhyw beth mewn dilysu nac amgryptio angen hawliau gweinyddol, a dyna’n union pam y gellir gwahanu’r fraint.

Gwahaniaethwch amser gosod oddi wrth amser cysylltu cyn dewis grant. Mae ganddynt wahanol berchnogion a gwahanol oes.

Defnyddiwch y gwasanaeth fel y gydran freiniol

Mae’r drefn a gefnogir yn rhedeg gwasanaeth Windows sy’n dal yr hawliau gofynnol, gyda GUI yn gofyn i’r gwasanaeth gysylltu. Felly nid yw cod breiniol byth yn rhedeg y tu mewn i sesiwn y defnyddiwr.

sc query OpenVPNService
sc qc OpenVPNService

Gwasanaeth sy’n rhedeg ac y mae ei lwybr deuaidd yn pwyntio at y cleient a osodwyd yw’r ffaith gyntaf i’w chadarnhau cyn dirprwyo unrhyw beth. Y gwasanaeth sy’n berchen ar yr addasydd a’r llwybrau, felly dim ond dechrau a stopio cysylltiad y mae’r defnyddiwr yn ei wneud. Hon yw’r siâp i’w ddefnyddio ar beiriannau a rennir, oherwydd nid oes gan y cyfrif sy’n clicio ar gysylltu unrhyw fraint barhaol. Darllenwch y disgrifiad gyda sc sdshow cyn ei olygu, a chadwch gopi hysbys dda o’r allbwn.

Dirprwywch newidiadau llwybrau i grŵp adeiledig

Ar gyfer cleient y mae’n rhaid iddo redeg yn rhyngweithiol, y grŵp adeiledig a ddirprwywyd yw Network Configuration Operators. Mae’n cwmpasu gosodiadau rhwydwaith a newidiadau llwybrau tra’n eithrio gosod meddalwedd a gwaith gweinyddol cyffredinol.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Nid yw ychwanegu’r cyfrif yn ddistaw: mae’r polisi diofyn yn dal i godi un anogiad y sesiwn, felly mae’r grant yn lleihau’r hyn y gall codi hawliau ei wneud yn hytrach na’i ddileu. Dogfennwch yr aelodaeth, oherwydd mae’n cronni’n dawel ac yn cael ei hadolygu bron byth. Ar lwybr y gwasanaeth, gall golygiad o’r disgrifiad gyda sc sdset ddirprwyo dechrau a stopio i grŵp, er y gall gwall teip yn y disgrifiad wrthod hawliau dechrau i bob cyfrif, ac mae dadwneud hynny angen gweinyddwr. Profwch unrhyw newid i’r disgrifiad ar beiriant labordy cyn iddo gyrraedd gwesteiwr cynhyrchu.

Gwiriwch o gyfrif y defnyddiwr

Nid yw ffurfweddiad a wnaed mewn sesiwn weinyddol yn profi dim am y cyfrif a fydd yn ei ddefnyddio. Mewngofnodwch fel y defnyddiwr hwnnw, cysylltwch, a chymharwch gyflwr y peiriant cyn ac ar ôl.

route print -4
Get-DnsClientServerAddress

Dylai’r tabl llwybreiddio ennill llwybrau’r tiwnel, a dylai’r datryswr bwyntio at y gweinyddion y mae’r VPN yn eu darparu tra’n gysylltiedig. Ar ôl datgysylltu dylai’r ddau allbwn gyd-fynd â’r copïau a gasglwyd gennych ymlaen llaw, a dyna pam mae eu casglu gyntaf yn bwysig. Gall diweddariadau gyrrwr ailgyflwyno’r gofyniad gweinyddol, felly cofnodwch fersiwn y cleient wrth ymyl y canlyniad. Cadwch ffeiliau proffil ac allweddi yn ddarllenadwy yn unig i’r cyfrif sy’n eu defnyddio yn hytrach na llacio caniatâd ar gyfer gosodiad a rennir.

Nodwch pwy all ddechrau’r tiwnel, pa grŵp sy’n ei ganiatâu, a beth sydd dal angen gweinyddwr. Mae’r nodyn hwnnw’n troi’r diweddariad cleient nesaf yn waith wedi’i gynllunio yn lle prynhawn o ddyfalu.