OpenVPN rinne litte op Windows sûnder brûkers administrateurs te meitsjen

In brûker dûbelklikt op de OpenVPN-GUI, akseptearret in UAC-fraach en werhellet itselde ritueel by de folgjende werferbining. De fraach is gjin ferpakkingsflater: de klant makket in firtuele adapter oan en bewurket de routingtabel, en beide binne befoarrjochte feroaringen. De nuttige fraach is hokker fan dy rjochten de brûker echt nedich hat. In tsjinst plus in smelle delegaasje dekt de ferbining sûnder administrateurslidmaatskip út te dielen.

Hokker operaasjes freegje echt ferheging fan rjochten

De tunnel einiget op in firtuele netwurkynterface, en it ynstallearjen fan dy ynterface is in stjoerderoperaasje dy’t ien kear administrateursrjochten nedich hat. Nei’t de adapter bestiet, skriuwt elke ferbining noch altyd rûtes en feroaret, ôfhinklik fan it profyl, de DNS-konfiguraasje. Krekt dy twa stappen lûke ferheging fan rjochten yn in gewoan akkount út. Neat yn autentikaasje of fersifering hat administrateursrjochten nedich, en dêrom kin it foarrjocht krekt ôfsplitst wurde.

Skied ynstallaasjetiid fan ferbiningstiid foardat jo in talitting kieze. Se hawwe ferskate eigners en ferskate libbensdoer.

Brûk de tsjinst as it befoarrjochte komponint

De stipe opstelling rint in Windows-tsjinst dy’t de fereaske rjochten hâldt, wylst in GUI de tsjinst freget om te ferbinen. Sa rint befoarrjochte koade nea binnen de sesje fan de brûker.

sc query OpenVPNService
sc qc OpenVPNService

In rinnende tsjinst wêrfan it binarypaad nei de ynstalleare klant wiist, is it earste feit dat befêstige wurde moat foardat jo wat dan ek delegere. De tsjinst besit de adapter en de rûtes, dus de brûker begjint en stopet allinnich in ferbining. Dit is de foarm foar dielde masines, om’t it akkount dat op ferbinen klikt gjin steande foarrjocht hâldt. Lês de beskriuwer mei sc sdshow foardat jo him bewurkje, en hâld in bekend-goede kopy fan de útfier.

Delegere rûteferoaringen oan in ynboude groep

Foar in klant dy’t ynteraktyf rinne moat, is de delegere ynboude groep Network Configuration Operators. It dekt netwurkyustellings en rûteferoaringen, wylst it ynstallaasje fan software en algemien administraasjewurk útslút.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

It tafoegjen fan it akkount is net stil: it standertbelied lit noch altyd ien fraach per sesje opkomme, dus de talitting fermindert wat ferheging fan rjochten dwaan kin ynstee fan it fuort te heljen. Dokumintearje it lidmaatskip, want it sammelt stil op en wurdt hast nea besjoen. Op it tsjinstpaad kin in beskriuwerbewurking mei sc sdset start en stop oan in groep delegere, hoewol in typflater yn de beskriuwer startrjochten foar elk akkount wegerje kin, en it ûngedien meitsjen freget in administrateur. Test elke beskriuwerferoaring op in laboratoariummasine foardat dy in produksjeserver berikt.

Kontrolearje fan it brûkersakkount

Konfiguraasje dien yn in administrateursesje bewiist neat oer it akkount dat him brûke sil. Meld jo oan as dy brûker, ferbinje, en fergelykje de tastân fan de masine foar en nei.

route print -4
Get-DnsClientServerAddress

De routingtabel heart de tunnelrûtes te krijen, en de resolver heart nei de servers te wizen dy’t it VPN leveret wylst jo ferbûn binne. Nei it ôfbrekken hearre beide útfieren te oerien te kommen mei de kopyen dy’t jo foarôf makken, en dêrom is it wichtich se earst te meitsjen. Stjoerderfernijingen kinne de administrateurseis opnij ynfiere, dus skriuw de klantferzje njonken it resultaat. Hâld profyl- en kaaibestannen allinnich lêsber foar it akkount dat se brûkt, ynstee fan de rjochten te fersoepjen foar in dielde ynstallaasje.

Skriuw op wa’t de tunnel starte kin, hokker groep dat tastean moat en wat noch in administrateur freget. Dy notysje makket de folgjende klantfernijing pland wurk ynstee fan in middei fan rieden.