Εκτέλεση του OpenVPN σε Windows χωρίς να γίνονται οι χρήστες διαχειριστές

Ένας χρήστης κάνει διπλό κλικ στο GUI του OpenVPN, εγκρίνει ένα αίτημα UAC και επαναλαμβάνει την ίδια τελετουργία στην επόμενη επανασύνδεση. Το αίτημα δεν είναι λάθος συσκευασίας: ο πελάτης δημιουργεί έναν εικονικό προσαρμογέα και επεξεργάζεται τον πίνακα δρομολόγησης, και τα δύο είναι προνομιακές αλλαγές. Το χρήσιμο ερώτημα είναι ποια από αυτά τα δικαιώματα χρειάζεται πραγματικά ο χρήστης. Μια υπηρεσία μαζί με μια στενή ανάθεση καλύπτει τη σύνδεση χωρίς να μοιράζει ιδιότητα διαχειριστή.

Ποιες λειτουργίες απαιτούν πραγματικά αναβάθμιση δικαιωμάτων

Η σήραγγα τερματίζει σε μια εικονική διεπαφή δικτύου, και η εγκατάσταση αυτής της διεπαφής είναι λειτουργία προγράμματος οδήγησης που χρειάζεται δικαιώματα διαχειριστή μία φορά. Αφού υπάρξει ο προσαρμογέας, κάθε σύνδεση εξακολουθεί να γράφει διαδρομές και, ανάλογα με το προφίλ, αλλάζει τη διαμόρφωση DNS. Αυτά τα δύο βήματα προκαλούν την αναβάθμιση δικαιωμάτων σε έναν συνηθισμένο λογαριασμό. Τίποτα στην ταυτοποίηση ή την κρυπτογράφηση δεν χρειάζεται δικαιώματα διαχειριστή, και γι’ αυτό ακριβώς το προνόμιο μπορεί να αποσπαστεί.

Διαχωρίστε τον χρόνο εγκατάστασης από τον χρόνο σύνδεσης πριν επιλέξετε μια παραχώρηση. Έχουν διαφορετικούς ιδιοκτήτες και διαφορετική διάρκεια ζωής.

Χρησιμοποιήστε την υπηρεσία ως προνομιακό συστατικό

Η υποστηριζόμενη διάταξη εκτελεί μια υπηρεσία Windows που κατέχει τα απαιτούμενα δικαιώματα, με ένα GUI που ζητά από την υπηρεσία να συνδεθεί. Έτσι ο προνομιακός κώδικας δεν εκτελείται ποτέ μέσα στη συνεδρία του χρήστη.

sc query OpenVPNService
sc qc OpenVPNService

Μια υπηρεσία που εκτελείται και της οποίας η διαδρομή δυαδικού δείχνει στον εγκατεστημένο πελάτη είναι το πρώτο γεγονός που πρέπει να επιβεβαιωθεί πριν ανατεθεί οτιδήποτε. Η υπηρεσία κατέχει τον προσαρμογέα και τις διαδρομές, οπότε ο χρήστης απλώς ξεκινά και σταματά μια σύνδεση. Αυτή είναι η μορφή για κοινόχρηστους υπολογιστές, επειδή ο λογαριασμός που κάνει κλικ στη σύνδεση δεν κατέχει μόνιμο προνόμιο. Διαβάστε τον περιγραφέα με sc sdshow πριν τον επεξεργαστείτε, και κρατήστε ένα γνωστό σωστό αντίγραφο της εξόδου.

Αναθέστε τις αλλαγές διαδρομών σε μια ενσωματωμένη ομάδα

Για έναν πελάτη που πρέπει να εκτελείται διαδραστικά, η ανατεθειμένη ενσωματωμένη ομάδα είναι η Network Configuration Operators. Καλύπτει ρυθμίσεις δικτύου και αλλαγές διαδρομών, ενώ αποκλείει την εγκατάσταση λογισμικού και τη γενική διαχειριστική εργασία.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Η προσθήκη του λογαριασμού δεν είναι σιωπηλή: η προεπιλεγμένη πολιτική εξακολουθεί να εγείρει ένα αίτημα ανά συνεδρία, οπότε η παραχώρηση μειώνει το τι μπορεί να κάνει η αναβάθμιση δικαιωμάτων αντί να την αφαιρεί. Τεκμηριώστε τη συμμετοχή, επειδή συσσωρεύεται σιωπηλά και σχεδόν ποτέ δεν επανεξετάζεται. Στη διαδρομή μέσω υπηρεσίας, μια επεξεργασία του περιγραφέα με sc sdset μπορεί να αναθέσει την εκκίνηση και τη διακοπή σε μια ομάδα, αν και ένα τυπογραφικό λάθος στον περιγραφέα μπορεί να αρνηθεί δικαιώματα εκκίνησης σε κάθε λογαριασμό, και η αναίρεσή του απαιτεί διαχειριστή. Δοκιμάστε κάθε αλλαγή περιγραφέα σε μηχάνημα εργαστηρίου πριν φτάσει σε κεντρικό υπολογιστή παραγωγής.

Επαληθεύστε από τον λογαριασμό χρήστη

Η διαμόρφωση που γίνεται σε συνεδρία διαχειριστή δεν αποδεικνύει τίποτα για τον λογαριασμό που θα τη χρησιμοποιήσει. Συνδεθείτε ως αυτός ο χρήστης, πραγματοποιήστε τη σύνδεση και συγκρίνετε την κατάσταση του μηχανήματος πριν και μετά.

route print -4
Get-DnsClientServerAddress

Ο πίνακας δρομολόγησης θα πρέπει να αποκτήσει τις διαδρομές της σήραγγας, και ο επιλυτής θα πρέπει να δείχνει στους διακομιστές που παρέχει το VPN όσο είστε συνδεδεμένοι. Μετά την αποσύνδεση, και οι δύο έξοδοι θα πρέπει να ταιριάζουν με τα αντίγραφα που καταγράψατε εκ των προτέρων, και γι’ αυτό έχει σημασία να τα καταγράψετε πρώτα. Οι ενημερώσεις προγραμμάτων οδήγησης μπορούν να επαναφέρουν την απαίτηση διαχειριστή, οπότε καταγράψτε την έκδοση του πελάτη δίπλα στο αποτέλεσμα. Κρατήστε τα αρχεία προφίλ και κλειδιών αναγνώσιμα μόνο από τον λογαριασμό που τα χρησιμοποιεί, αντί να χαλαρώσετε τα δικαιώματα για κοινή εγκατάσταση.

Καταγράψτε ποιος μπορεί να ξεκινήσει τη σήραγγα, ποια ομάδα το επιτρέπει και τι εξακολουθεί να χρειάζεται διαχειριστή. Αυτή η σημείωση μετατρέπει την επόμενη ενημέρωση πελάτη σε προγραμματισμένη εργασία αντί για ένα απόγευμα εικασιών.