OpenVPN unter Windows ausführen, ohne Benutzer zu Administratoren zu machen

Ein Benutzer doppelklickt auf die OpenVPN-GUI, bestätigt eine UAC-Abfrage und wiederholt dasselbe Ritual beim nächsten Verbindungsaufbau. Die Abfrage ist kein Verpackungsfehler: Der Client erstellt einen virtuellen Adapter und bearbeitet die Routing-Tabelle, und beides sind privilegierte Änderungen. Die nützliche Frage ist, welche dieser Rechte der Benutzer wirklich braucht. Ein Dienst plus eine enge Delegation deckt die Verbindung ab, ohne Administrator-Mitgliedschaft zu verteilen.

Welche Vorgänge tatsächlich eine Rechteerhöhung erfordern

Der Tunnel endet an einer virtuellen Netzwerkschnittstelle, und das Installieren dieser Schnittstelle ist ein Treibervorgang, der einmalig Administratorrechte benötigt. Nachdem der Adapter existiert, schreibt jede Verbindung weiterhin Routen und ändert je nach Profil die DNS-Konfiguration. Diese beiden Schritte lösen die Rechteerhöhung bei einem normalen Konto aus. Nichts an Authentifizierung oder Verschlüsselung braucht Administratorrechte, und genau deshalb lässt sich das Privileg abtrennen.

Trennen Sie Installationszeit von Verbindungszeit, bevor Sie eine Gewährung wählen. Sie haben unterschiedliche Eigentümer und unterschiedliche Lebensdauern.

Nutzen Sie den Dienst als privilegierte Komponente

Die unterstützte Anordnung führt einen Windows-Dienst aus, der die erforderlichen Rechte hält, während eine GUI den Dienst um Verbindung bittet. Privilegierter Code läuft dann nie innerhalb der Benutzersitzung.

sc query OpenVPNService
sc qc OpenVPNService

Ein laufender Dienst, dessen Binärpfad auf den installierten Client zeigt, ist der erste zu bestätigende Fakt, bevor irgendetwas delegiert wird. Der Dienst besitzt den Adapter und die Routen, sodass der Benutzer nur eine Verbindung startet und stoppt. Diese Form ist auf gemeinsam genutzten Rechnern zu verwenden, weil das Konto, das auf Verbinden klickt, kein dauerhaftes Privileg hält. Lesen Sie den Deskriptor mit sc sdshow bevor Sie ihn bearbeiten, und bewahren Sie eine bekannte gute Kopie der Ausgabe auf.

Delegieren Sie Routenänderungen an eine integrierte Gruppe

Für einen Client, der interaktiv laufen muss, ist die delegierte integrierte Gruppe Network Configuration Operators. Sie deckt Netzwerkeinstellungen und Routenänderungen ab und schließt Softwareinstallation und allgemeine Verwaltungsarbeit aus.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Das Hinzufügen des Kontos ist nicht still: Die Standardrichtlinie löst weiterhin eine Abfrage pro Sitzung aus, sodass die Gewährung verringert, was eine Rechteerhöhung tun kann, statt sie zu beseitigen. Dokumentieren Sie die Mitgliedschaft, weil sie sich still ansammelt und fast nie überprüft wird. Auf dem Dienstweg kann eine Deskriptoränderung mit sc sdset Start und Stopp an eine Gruppe delegieren, obwohl ein Tippfehler im Deskriptor jedem Konto die Startrechte verweigern kann und das Rückgängigmachen einen Administrator erfordert. Testen Sie jede Deskriptoränderung auf einem Laborrechner, bevor sie einen Produktionshost erreicht.

Prüfen Sie vom Benutzerkonto aus

Eine in einer Administrator-Sitzung vorgenommene Konfiguration beweist nichts über das Konto, das sie nutzen wird. Melden Sie sich als dieser Benutzer an, verbinden Sie sich und vergleichen Sie den Rechnerzustand vorher und nachher.

route print -4
Get-DnsClientServerAddress

Die Routing-Tabelle sollte die Tunnelrouten erhalten, und der Resolver sollte während der Verbindung auf die vom VPN bereitgestellten Server zeigen. Nach dem Trennen sollten beide Ausgaben mit den vorher erstellten Kopien übereinstimmen, weshalb es wichtig ist, sie zuerst zu erstellen. Treiberupdates können die Administratoranforderung wieder einführen, also notieren Sie die Client-Version neben dem Ergebnis. Halten Sie Profil- und Schlüsseldateien nur für das Konto lesbar, das sie verwendet, statt die Berechtigungen für eine gemeinsame Installation zu lockern.

Notieren Sie, wer den Tunnel starten kann, welche Gruppe das gewährt und was weiterhin einen Administrator erfordert. Diese Notiz macht das nächste Client-Update zu geplanter Arbeit statt zu einem Nachmittag voller Vermutungen.