Kør OpenVPN på Windows uden at gøre brugere til administratorer

En bruger dobbeltklikker på OpenVPN GUI, godkender en UAC-anmodning og gentager det samme ritual ved næste genopkobling. Anmodningen er ikke en pakkefejl: klienten opretter en virtuel adapter og redigerer routingtabellen, og begge er privilegerede ændringer. Det nyttige spørgsmål er, hvilke af disse rettigheder brugeren reelt har brug for. En tjeneste plus en snæver delegation dækker forbindelsen uden at uddele administrator-medlemskab.

Hvilke handlinger kræver faktisk forhøjede rettigheder

Tunnelen afsluttes på en virtuel netværksgrænseflade, og installation af den grænseflade er en driverhandling, der kræver administratorrettigheder én gang. Når adapteren findes, skriver hver forbindelse stadig ruter og ændrer, afhængigt af profilen, DNS-konfigurationen. Det er de to trin, der udløser forhøjelse på en almindelig konto. Intet i godkendelse eller kryptering kræver administratorrettigheder, og det er netop derfor privilegiet kan skilles ud.

Adskil installationstidspunkt fra forbindelsestidspunkt, før du vælger en tildeling. De har forskellige ejere og forskellige levetider.

Brug tjenesten som den privilegerede komponent

Den understøttede ordning kører en Windows-tjeneste, der har de nødvendige rettigheder, med en GUI der beder tjenesten om at forbinde. Så kører privilegeret kode aldrig inde i brugerens session.

sc query OpenVPNService
sc qc OpenVPNService

En kørende tjeneste, hvis binære sti peger på den installerede klient, er det første faktum, der skal bekræftes, før der delegeres noget. Tjenesten ejer adapteren og ruterne, så brugeren starter og stopper kun en forbindelse. Det er formen at bruge på delte maskiner, fordi den konto, der klikker på forbind, ikke har nogen permanent rettighed. Læs deskriptoren med sc sdshow før du redigerer den, og gem en kendt god kopi af outputtet.

Deleger rutændringer til en indbygget gruppe

For en klient, der skal køre interaktivt, er den delegerede indbyggede gruppe Network Configuration Operators. Den dækker netværksindstillinger og rutændringer, mens den udelukker softwareinstallation og almindeligt administrativt arbejde.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Tilføjelse af kontoen er ikke lydløs: standardpolitikken rejser stadig én anmodning pr. session, så tildelingen reducerer, hvad forhøjelse kan gøre, i stedet for at fjerne den. Dokumentér medlemskabet, fordi det akkumuleres stille og næsten aldrig gennemgås. På tjenestevejen kan en deskriptorændring med sc sdset delegere start og stop til en gruppe, selvom en tastefejl i deskriptoren kan nægte startrettigheder for enhver konto, og fortrydelse kræver en administrator. Test enhver deskriptorændring på en laboratoriemaskine, før den når en produktionsvært.

Bekræft fra brugerkontoen

Konfiguration udført i en administratorsession beviser intet om den konto, der skal bruge den. Log ind som den bruger, opret forbindelse, og sammenlign maskinens tilstand før og efter.

route print -4
Get-DnsClientServerAddress

Routingtabellen bør få tunnelruterne, og resolveren bør pege på de servere, som VPN’et stiller til rådighed, mens du er forbundet. Efter afbrydelse bør begge output svare til de kopier, du tog på forhånd, og derfor er det vigtigt at tage dem først. Driveropdateringer kan genindføre administratorkravet, så noter klientversionen ved siden af resultatet. Hold profil- og nøglefiler læsbare for kun den konto, der bruger dem, i stedet for at lempe tilladelserne for en delt installation.

Skriv ned, hvem der kan starte tunnelen, hvilken gruppe der giver den, og hvad der stadig kræver en administrator. Den note gør den næste klientopdatering til planlagt arbejde i stedet for en eftermiddag med gætterier.