OpenVPN-i käivitamine Windowsis ilma kasutajaid administraatoriteks tegemata

Kasutaja teeb OpenVPN GUI-l topeltklõpsu, kinnitab UAC-küsimuse ja kordab sama rituaali järgmisel taasühendamisel. Küsimus ei ole pakendamise viga: klient loob virtuaalse adapteri ja muudab marsruutimistabelit ning mõlemad on privileegiga toimingud. Kasulik küsimus on, milliseid neist õigustest kasutaja tegelikult vajab. Teenus ja kitsas delegeerimine katavad ühenduse, ilma et administraatori liikmelisust jagataks.

Millised toimingud tegelikult õiguste tõstmist nõuavad

Tunnel lõpeb virtuaalsel võrguliidesel ja selle liidese paigaldamine on draiveri toiming, mis nõuab ühe korra administraatori õigusi. Kui adapter on olemas, kirjutab iga ühendus endiselt marsruute ja muudab sõltuvalt profiilist DNS-i seadistust. Just need kaks sammu käivitavad tavalises kontos õiguste tõstmise. Autentimises ega krüpteerimises ei nõua miski administraatori õigusi ja just seetõttu saab privileegi eraldada.

Eraldage paigaldusaeg ühendusajast enne loa valimist. Neil on erinevad omanikud ja erinev eluiga.

Kasutage teenust privilegeeritud komponendina

Toetatud lahendus käivitab Windowsi teenuse, millel on vajalikud õigused, samal ajal kui GUI palub teenusel ühenduda. Nii ei tööta privilegeeritud kood kunagi kasutaja sessiooni sees.

sc query OpenVPNService
sc qc OpenVPNService

Töötav teenus, mille binaartee osutab paigaldatud kliendile, on esimene fakt, mida tuleb enne millegi delegeerimist kinnitada. Teenus omab adapterit ja marsruute, nii et kasutaja ainult alustab ja peatab ühenduse. See ongi vorm, mida kasutada jagatud masinates, sest kontol, mis ühendumiseks klõpsab, ei ole püsivat privileegi. Lugege kirjeldajat käsuga sc sdshow enne selle muutmist ja hoidke väljundist teada-tuntud korras koopia.

Delegeerige marsruudimuudatused sisseehitatud rühmale

Kliendi jaoks, mis peab töötama interaktiivselt, on delegeeritud sisseehitatud rühm Network Configuration Operators. See katab võrguseaded ja marsruudimuudatused, jättes välja tarkvara paigaldamise ja üldise haldustöö.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Konto lisamine ei ole vaikne: vaikepoliitika tõstatab endiselt ühe küsimuse sessiooni kohta, seega luba vähendab seda, mida õiguste tõstmine teha saab, mitte ei eemalda seda. Dokumenteerige liikmelisus, sest see koguneb vaikselt ja seda ei vaadata peaaegu kunagi üle. Teenuse teel saab kirjeldaja muutmine käsuga sc sdset delegeerida käivitamise ja peatamise rühmale, kuigi kirjeldaja kirjaviga võib keelata käivitamisõigused igal kontol ja selle tagasivõtmine nõuab administraatorit. Testige iga kirjeldaja muudatust laborimasinas enne, kui see jõuab tootmiskeskkonna hostini.

Kontrollige kasutajakontolt

Administraatori sessioonis tehtud seadistus ei tõesta midagi konto kohta, mis seda kasutama hakkab. Logige selle kasutajana sisse, ühenduge ja võrrelge masina olekut enne ja pärast.

route print -4
Get-DnsClientServerAddress

Marsruutimistabel peaks saama tunneli marsruudid ja resolver peaks ühenduse ajal osutama serveritele, mida VPN pakub. Pärast katkestamist peaksid mõlemad väljundid ühtima varem tehtud koopiatega ja seetõttu on oluline need kõigepealt teha. Draiveri uuendused võivad administraatori nõude uuesti sisse tuua, seega märkige kliendi versioon tulemuse kõrvale. Hoidke profiili- ja võtmefailid loetavad ainult seda kasutaval kontol, selle asemel et jagatud paigalduse jaoks õigusi lõdvendada.

Kirjutage üles, kes saab tunneli käivitada, milline rühm seda lubab ja mis vajab endiselt administraatorit. See märkus muudab järgmise kliendiuuenduse planeeritud tööks, mitte oletuste pärastlõunaks.