Ruli OpenVPN en Windows sen igi uzantojn administrantoj

Uzanto duobleklakas la OpenVPN-GUI, aprobas UAC-peton kaj ripetas la saman riton ĉe la sekva rekonekto. La peto ne estas pakuma eraro: la kliento kreas virtualan adaptilon kaj redaktas la enkursigan tabelon, kaj ambaŭ estas privilegiaj ŝanĝoj. La utila demando estas, kiujn el tiuj rajtoj la uzanto vere bezonas. Servo plus mallarĝa delegado kovras la konekton sen disdoni administrantan membrecon.

Kiuj operacioj vere postulas privilegiŝtigon

La tunelo finiĝas ĉe virtuala retinterfaco, kaj instali tiun interfacon estas pelila operacio, kiu unufoje postulas administrantajn rajtojn. Post kiam la adaptilo ekzistas, ĉiu konekto ankoraŭ skribas itinerojn kaj, depende de la profilo, ŝanĝas la DNS-agordon. Ĝuste tiuj du paŝoj kaŭzas privilegiŝtigon sur ordinara konto. Nenio en aŭtentigo aŭ ĉifrado postulas administrantajn rajtojn, kaj ĝuste tial la privilegio povas esti apartigita.

Apartigu instalotempon de konektotempo antaŭ ol elekti permeson. Ili havas malsamajn posedantojn kaj malsamajn vivdaŭrojn.

Uzu la servon kiel la privilegian komponanton

La subtenata aranĝo funkciigas Windows-servon, kiu tenas la postulatajn rajtojn, dum GUI petas la servon konektiĝi. Tiel privilegia kodo neniam funkcias ene de la uzanta seanco.

sc query OpenVPNService
sc qc OpenVPNService

Funkcianta servo, kies binara vojo montras al la instalita kliento, estas la unua fakto konfirmenda antaŭ ol delegi ion ajn. La servo posedas la adaptilon kaj la itinerojn, do la uzanto nur komencas kaj haltigas konekton. Tiu ĉi estas la formo por komunaj maŝinoj, ĉar la konto, kiu klakas por konekti, ne tenas daŭran privilegion. Legu la priskribilon per sc sdshow antaŭ ol redakti ĝin, kaj konservu konatan bonan kopion de la eligo.

Delegu itineroŝanĝojn al enkonstruita grupo

Por kliento, kiu devas funkcii interage, la delegita enkonstruita grupo estas Network Configuration Operators. Ĝi kovras retajn agordojn kaj itineroŝanĝojn, dum ĝi ekskludas programinstaladon kaj ĝeneralan administran laboron.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Aldoni la konton ne estas silenta: la defaŭlta politiko ankoraŭ levos unu peton po seanco, do la permeso malpliigas tion, kion privilegiŝtigo povas fari, anstataŭ forigi ĝin. Dokumentu la membrecon, ĉar ĝi akumuliĝas silente kaj preskaŭ neniam estas reviziata. Sur la serva vojo, priskribila redakto per sc sdset povas delegi komencon kaj halton al grupo, kvankam tajperaro en la priskribilo povas nei komencajn rajtojn al ĉiu konto, kaj malfaro postulas administranton. Testu ĉiun priskribilan ŝanĝon sur labora maŝino antaŭ ol ĝi atingos produktan gastiganton.

Kontrolu el la uzanta konto

Agordo farita en administranta seanco pruvas nenion pri la konto, kiu ĝin uzos. Salutu kiel tiu uzanto, konektiĝu, kaj komparu la staton de la maŝino antaŭe kaj poste.

route print -4
Get-DnsClientServerAddress

La enkursiga tabelo devus gajni la tunelajn itinerojn, kaj la solvilo devus montri al la serviloj, kiujn la VPN provizas dum konektiteco. Post malkonekto ambaŭ eligoj devus kongrui kun la kopioj, kiujn vi kaptis antaŭe, kaj tial gravas kapti ilin unue. Pelilaj ĝisdatigoj povas reenkonduki la administrantan postulon, do notu la klientversion apud la rezulto. Tenu profil- kaj ŝlosildosierojn legeblaj nur por la konto, kiu ilin uzas, anstataŭ malstreĉi permesojn por komuna instalado.

Notu, kiu povas komenci la tunelon, kiu grupo tion permesas, kaj kio ankoraŭ postulas administranton. Tiu noto transformas la sekvan klientan ĝisdatigon en planitan laboron anstataŭ posttagmezon da konjektado.