Aja OpenVPN Windowsissa tekemättä käyttäjistä järjestelmänvalvojia

Käyttäjä kaksoisklikkaa OpenVPN-GUI:ta, hyväksyy UAC-kyselyn ja toistaa saman rituaalin seuraavalla uudelleenyhdistämiskerralla. Kysely ei ole pakkausvirhe: asiakas luo virtuaalisen sovittimen ja muokkaa reititystaulua, ja molemmat ovat etuoikeutettuja muutoksia. Hyödyllinen kysymys on, mitä näistä oikeuksista käyttäjä todella tarvitsee. Palvelu ja kapea delegointi kattavat yhteyden jakamatta järjestelmänvalvojan jäsenyyttä.

Mitkä toiminnot todella vaativat oikeuksien korottamista

Tunneli päättyy virtuaaliseen verkkoliitäntään, ja sen liitännän asentaminen on ajuritoiminto, joka vaatii kerran järjestelmänvalvojan oikeudet. Kun sovitin on olemassa, jokainen yhteys kirjoittaa edelleen reittejä ja muuttaa profiilista riippuen DNS-asetuksia. Juuri nämä kaksi vaihetta laukaisevat oikeuksien korottamisen tavallisella tilillä. Mikään todennuksessa tai salauksessa ei vaadi järjestelmänvalvojan oikeuksia, ja juuri siksi etuoikeus voidaan erottaa.

Erota asennusaika yhdistämisajasta ennen kuin valitset myönnytyksen. Niillä on eri omistajat ja eri elinkaaret.

Käytä palvelua etuoikeutettuna komponenttina

Tuettu järjestely ajaa Windows-palvelua, jolla on tarvittavat oikeudet, ja GUI pyytää palvelua yhdistämään. Silloin etuoikeutettu koodi ei koskaan suorita käyttäjän istunnon sisällä.

sc query OpenVPNService
sc qc OpenVPNService

Käynnissä oleva palvelu, jonka binaaripolku osoittaa asennettuun asiakkaaseen, on ensimmäinen vahvistettava tosiasia ennen minkään delegoimista. Palvelu omistaa sovittimen ja reitit, joten käyttäjä vain aloittaa ja lopettaa yhteyden. Tämä on muoto jaetuille koneille, koska yhdistämistä klikkaavalla tilillä ei ole pysyvää etuoikeutta. Lue kuvaaja komennolla sc sdshow ennen sen muokkaamista ja säilytä tunnetusti ehjä kopio tulosteesta.

Delegoi reittimuutokset sisäänrakennetulle ryhmälle

Asiakkaalle, jonka on toimittava vuorovaikutteisesti, delegoitu sisäänrakennettu ryhmä on Network Configuration Operators. Se kattaa verkkoasetukset ja reittimuutokset mutta jättää pois ohjelmiston asentamisen ja yleisen hallintotyön.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Tilin lisääminen ei ole äänetöntä: oletuskäytäntö nostaa silti yhden kyselyn istuntoa kohden, joten myönnytys vähentää sitä, mitä oikeuksien korottaminen voi tehdä, sen sijaan että poistaisi sen. Dokumentoi jäsenyys, koska se kertyy hiljaa ja sitä tarkastellaan lähes koskaan. Palvelupolulla kuvaajan muokkaus komennolla sc sdset voi delegoida käynnistyksen ja pysäytyksen ryhmälle, vaikka kirjoitusvirhe kuvaajassa voi evätä käynnistysoikeudet jokaiselta tililtä, ja sen peruminen vaatii järjestelmänvalvojan. Testaa jokainen kuvaajamuutos laboratoriokoneella ennen kuin se päätyy tuotantopalvelimeen.

Vahvista käyttäjätililtä

Järjestelmänvalvojan istunnossa tehty määritys ei todista mitään tilistä, joka sitä käyttää. Kirjaudu sisään kyseisenä käyttäjänä, yhdistä ja vertaa koneen tilaa ennen ja jälkeen.

route print -4
Get-DnsClientServerAddress

Reititystaulun pitäisi saada tunnelin reitit, ja ratkaisijan pitäisi osoittaa palvelimiin, jotka VPN tarjoaa yhteyden aikana. Yhteyden katkaisemisen jälkeen molempien tulosteiden pitäisi vastata kopioita, jotka otit etukäteen, ja siksi ne kannattaa ottaa ensin. Ajuripäivitykset voivat palauttaa järjestelmänvalvojan vaatimuksen, joten kirjaa asiakasversio tuloksen viereen. Pidä profiili- ja avaintiedostot luettavina vain sitä käyttävälle tilille sen sijaan, että löysäisit käyttöoikeuksia jaettua asennusta varten.

Kirjoita muistiin, kuka voi käynnistää tunnelin, mikä ryhmä sen myöntää ja mikä vaatii edelleen järjestelmänvalvojaa. Tuo muistiinpano muuttaa seuraavan asiakaspäivityksen suunnitelluksi työksi arvailun iltapäivän sijaan.