اجرای OpenVPN در ویندوز بدون مدیر کردن کاربران

کاربر روی رابط گرافیکی OpenVPN دوبار کلیک می‌کند، یک اعلان UAC را تأیید می‌کند و در اتصال مجدد بعدی همان آیین را تکرار می‌کند. این اعلان خطای بسته‌بندی نیست: کلاینت یک آداپتور مجازی می‌سازد و جدول مسیریابی را ویرایش می‌کند و هر دو تغییراتی ممتاز هستند. پرسش مفید این است که کاربر واقعاً به کدام‌یک از این حقوق نیاز دارد. یک سرویس به‌همراه واگذاری محدود، اتصال را پوشش می‌دهد بدون آنکه عضویت مدیر توزیع شود.

کدام عملیات واقعاً به افزایش دسترسی نیاز دارد

تونل روی یک رابط شبکه مجازی پایان می‌یابد و نصب آن رابط یک عملیات درایور است که یک بار به حقوق مدیر نیاز دارد. پس از وجود آداپتور، هر اتصال همچنان مسیرها را می‌نویسد و بسته به پروفایل، پیکربندی DNS را تغییر می‌دهد. همین دو گام است که افزایش دسترسی را در یک حساب معمولی برمی‌انگیزد. هیچ چیز در احراز هویت یا رمزنگاری به حقوق مدیر نیاز ندارد و دقیقاً به همین دلیل می‌توان این امتیاز را جدا کرد.

پیش از انتخاب یک واگذاری، زمان نصب را از زمان اتصال جدا کنید. مالکان و عمرهای متفاوتی دارند.

از سرویس به‌عنوان جزء ممتاز استفاده کنید

ترتیب پشتیبانی‌شده سرویس ویندوزی را اجرا می‌کند که حقوق لازم را در اختیار دارد، و یک GUI از سرویس می‌خواهد که متصل شود. آن‌گاه کد ممتاز هرگز درون نشست کاربر اجرا نمی‌شود.

sc query OpenVPNService
sc qc OpenVPNService

سرویسی که در حال اجراست و مسیر باینری‌اش به کلاینت نصب‌شده اشاره می‌کند، نخستین واقعیتی است که پیش از واگذاری هر چیزی باید تأیید شود. سرویس مالک آداپتور و مسیرهاست، پس کاربر فقط اتصال را شروع و متوقف می‌کند. این همان شکلی است که باید در ماشین‌های اشتراکی به کار رود، زیرا حسابی که روی اتصال کلیک می‌کند هیچ امتیاز دائمی ندارد. توصیف‌گر را با sc sdshow پیش از ویرایش بخوانید و یک نسخه سالم شناخته‌شده از خروجی نگه دارید.

تغییرات مسیر را به یک گروه داخلی واگذار کنید

برای کلاینتی که باید تعاملی اجرا شود، گروه داخلی واگذارشده Network Configuration Operators است. تنظیمات شبکه و تغییرات مسیر را پوشش می‌دهد و نصب نرم‌افزار و کار اداری عمومی را کنار می‌گذارد.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

افزودن حساب بی‌صدا نیست: سیاست پیش‌فرض همچنان در هر نشست یک اعلان بالا می‌آورد، پس این واگذاری کاری را که افزایش دسترسی می‌تواند بکند کاهش می‌دهد نه آنکه حذفش کند. عضویت را مستند کنید، چون بی‌سر‌و‌صدا انباشته می‌شود و تقریباً هرگز بازبینی نمی‌شود. در مسیر سرویس، ویرایش توصیف‌گر با sc sdset می‌تواند شروع و توقف را به یک گروه واگذار کند، هرچند یک غلط تایپی در توصیف‌گر می‌تواند حقوق شروع را از همه حساب‌ها بگیرد و بازگرداندن آن به مدیر نیاز دارد. هر تغییر توصیف‌گر را پیش از رسیدن به میزبان عملیاتی روی یک ماشین آزمایشگاهی بیازمایید.

از حساب کاربر بررسی کنید

پیکربندی‌ای که در نشست مدیر انجام شده درباره حسابی که از آن استفاده خواهد کرد چیزی را اثبات نمی‌کند. با همان کاربر وارد شوید، متصل شوید و وضعیت ماشین را پیش و پس مقایسه کنید.

route print -4
Get-DnsClientServerAddress

جدول مسیریابی باید مسیرهای تونل را بگیرد و حل‌کننده هنگام اتصال باید به سرورهایی اشاره کند که VPN فراهم می‌کند. پس از قطع اتصال، هر دو خروجی باید با نسخه‌هایی که از پیش گرفته‌اید یکسان باشند و به همین دلیل است که گرفتن آن‌ها در ابتدا اهمیت دارد. به‌روزرسانی درایور می‌تواند شرط مدیر را دوباره برگرداند، پس نسخه کلاینت را کنار نتیجه ثبت کنید. فایل‌های پروفایل و کلید را فقط برای حسابی خواندنی نگه دارید که از آن‌ها استفاده می‌کند، به‌جای آنکه مجوزها را برای نصب اشتراکی شل کنید.

بنویسید چه کسی می‌تواند تونل را شروع کند، کدام گروه آن را مجاز می‌کند و چه چیزی هنوز به مدیر نیاز دارد. آن یادداشت به‌روزرسانی بعدی کلاینت را به کاری برنامه‌ریزی‌شده تبدیل می‌کند، نه یک بعدازظهر حدس و گمان.