הרצת OpenVPN ב-Windows בלי להפוך משתמשים למנהלים

משתמש לוחץ פעמיים על ממשק OpenVPN, מאשר בקשת UAC וחוזר על אותו טקס בהתחברות מחדש הבאה. הבקשה אינה טעות אריזה: הלקוח יוצר מתאם וירטואלי ועורך את טבלת הניתוב, ושניהם שינויים בעלי הרשאה. השאלה המועילה היא אילו מהזכויות הללו המשתמש באמת צריך. שירות יחד עם האצלה צרה מכסה את החיבור בלי לחלק חברות במנהלים.

אילו פעולות באמת דורשות הרמת הרשאות

המנהרה מסתיימת בממשק רשת וירטואלי, והתקנת הממשק הזה היא פעולת מנהל התקן שדורשת פעם אחת הרשאות מנהל. לאחר שהמתאם קיים, כל חיבור עדיין כותב מסלולים, ובהתאם לפרופיל משנה את תצורת ה-DNS. שני השלבים האלה הם שמעוררים הרמת הרשאות בחשבון רגיל. שום דבר באימות או בהצפנה אינו דורש הרשאות מנהל, וזו בדיוק הסיבה שאפשר להפריד את ההרשאה.

הפרידו בין זמן ההתקנה לזמן החיבור לפני בחירת הרשאה. יש להם בעלים שונים ותוחלת חיים שונה.

השתמשו בשירות כרכיב המורשה

הסדר הנתמך מריץ שירות Windows שמחזיק בהרשאות הנדרשות, וממשק משתמש מבקש מהשירות להתחבר. כך קוד מורשה לעולם אינו רץ בתוך הפעלה של המשתמש.

sc query OpenVPNService
sc qc OpenVPNService

שירות פועל שנתיב הקובץ הבינרי שלו מצביע על הלקוח המותקן הוא העובדה הראשונה שיש לאשר לפני האצלת דבר. השירות הוא הבעלים של המתאם והמסלולים, ולכן המשתמש רק מתחיל ומפסיק חיבור. זו הצורה שיש להשתמש בה במחשבים משותפים, מפני שהחשבון שלוחץ להתחבר אינו מחזיק הרשאה קבועה. קראו את המתאר בעזרת sc sdshow לפני עריכתו, ושמרו עותק תקין מוכר של הפלט.

האצילו שינויי מסלול לקבוצה מובנית

ללקוח שחייב לרוץ באופן אינטראקטיבי, הקבוצה המובנית המואצלת היא Network Configuration Operators. היא מכסה הגדרות רשת ושינויי מסלול אך מוציאה התקנת תוכנה ועבודה ניהולית כללית.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

הוספת החשבון אינה שקטה: מדיניות ברירת המחדל עדיין מעלה בקשה אחת לכל הפעלה, כך שההרשאה מקטינה מה הרמת הרשאות יכולה לעשות במקום להסיר אותה. תעדו את החברות, מפני שהיא מצטברת בשקט וכמעט אף פעם אינה נבדקת. במסלול השירות, עריכת מתאר בעזרת sc sdset יכולה להאציל התחלה ועצירה לקבוצה, אם כי שגיאת הקלדה במתאר עלולה לשלול הרשאות התחלה מכל חשבון, וביטול הדבר דורש מנהל. בדקו כל שינוי מתאר במחשב מעבדה לפני שהוא מגיע לשרת ייצור.

אמתו מחשבון המשתמש

תצורה שנעשתה בהפעלה של מנהל אינה מוכיחה דבר על החשבון שישתמש בה. התחברו כמשתמש הזה, התחברו לרשת והשוו את מצב המחשב לפני ואחרי.

route print -4
Get-DnsClientServerAddress

טבלת הניתוב אמורה לקבל את מסלולי המנהרה, והפותרן אמור להצביע על השרתים שה-VPN מספק בזמן חיבור. לאחר התנתקות שני הפלטים אמורים להתאים לעותקים שצילמתם מראש, ולכן חשוב לצלם אותם קודם. עדכוני מנהל התקן יכולים להחזיר את דרישת המנהל, לכן רשמו את גרסת הלקוח לצד התוצאה. החזיקו את קובצי הפרופיל והמפתחות קריאים רק לחשבון שמשתמש בהם במקום להקל את ההרשאות להתקנה משותפת.

רשמו מי יכול להתחיל את המנהרה, איזו קבוצה מעניקה זאת ומה עדיין דורש מנהל. הפתק הזה הופך את עדכון הלקוח הבא לעבודה מתוכננת במקום אחר צהריים של ניחושים.