OpenVPN futtatása Windowson anélkül, hogy a felhasználókat rendszergazdává tennénk

A felhasználó duplán kattint az OpenVPN grafikus felületére, jóváhagy egy UAC-kérdést, majd a következő újracsatlakozáskor ugyanezt a szertartást ismétli. A kérdés nem csomagolási hiba: az ügyfél virtuális adaptert hoz létre és szerkeszti az útválasztási táblázatot, és mindkettő jogosultságot igénylő változtatás. A hasznos kérdés az, hogy e jogok közül melyekre van a felhasználónak valóban szüksége. Egy szolgáltatás és egy szűk delegálás lefedi a kapcsolatot anélkül, hogy rendszergazdai tagságot osztogatna.

Mely műveletek igényelnek valóban jogosultságemelést

Az alagút virtuális hálózati interfészen végződik, és ezen interfész telepítése olyan illesztőprogram-művelet, amely egyszer rendszergazdai jogokat igényel. Miután az adapter létezik, minden kapcsolat továbbra is útvonalakat ír, és a profiltól függően módosítja a DNS-konfigurációt. Ez a két lépés váltja ki a jogosultságemelést egy hétköznapi fiókon. A hitelesítésben és a titkosításban semmi nem igényel rendszergazdai jogokat, és éppen ezért lehet a jogosultságot különválasztani.

Válassza külön a telepítés idejét a csatlakozás idejétől, mielőtt engedélyt választ. Különböző tulajdonosaik és különböző élettartamuk van.

Használja a szolgáltatást a jogosultsággal rendelkező komponensként

A támogatott elrendezés egy Windows-szolgáltatást futtat, amely a szükséges jogokkal rendelkezik, a grafikus felület pedig megkéri a szolgáltatást, hogy csatlakozzon. Így a jogosultsággal rendelkező kód soha nem fut a felhasználó munkamenetén belül.

sc query OpenVPNService
sc qc OpenVPNService

Egy futó szolgáltatás, amelynek bináris útvonala a telepített ügyfélre mutat, az első tény, amelyet delegálás előtt meg kell erősíteni. A szolgáltatás birtokolja az adaptert és az útvonalakat, így a felhasználó csak elindít és leállít egy kapcsolatot. Ez a forma használandó megosztott gépeken, mert a csatlakozásra kattintó fióknak nincs állandó jogosultsága. Olvassa be a leírót a sc sdshow paranccsal a szerkesztés előtt, és őrizzen meg egy ismerten jó másolatot a kimenetből.

Delegálja az útvonalváltozásokat egy beépített csoportnak

Egy interaktívan futó ügyfél esetében a delegált beépített csoport a Network Configuration Operators. Lefedi a hálózati beállításokat és az útvonalváltozásokat, miközben kizárja a szoftvertelepítést és az általános adminisztratív munkát.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

A fiók hozzáadása nem csendes: az alapértelmezett szabályzat továbbra is munkamenetenként egy kérdést tesz fel, tehát az engedély csökkenti, mit tehet a jogosultságemelés, ahelyett hogy megszüntetné. Dokumentálja a tagságot, mert csendben felhalmozódik, és szinte soha nem vizsgálják felül. A szolgáltatás útvonalán a leíró szerkesztése a sc sdset paranccsal delegálhatja az indítást és leállítást egy csoportnak, bár a leíróban lévő elírás minden fióktól megvonhatja az indítási jogot, és visszavonása rendszergazdát igényel. Tesztelje a leíró bármely módosítását laboratóriumi gépen, mielőtt az termelési gazdagépre kerül.

Ellenőrizze a felhasználói fiókból

A rendszergazdai munkamenetben végzett konfiguráció semmit sem bizonyít arról a fiókról, amely használni fogja. Jelentkezzen be azzal a felhasználóval, csatlakozzon, és hasonlítsa össze a gép állapotát előtte és utána.

route print -4
Get-DnsClientServerAddress

Az útválasztási táblázatnak meg kell kapnia az alagút útvonalait, a feloldónak pedig arra a kiszolgálóra kell mutatnia, amelyet a VPN kapcsolat közben biztosít. A bontás után mindkét kimenetnek egyeznie kell az előzetesen készített másolatokkal, és éppen ezért fontos ezeket előbb elkészíteni. Az illesztőprogram-frissítések visszahozhatják a rendszergazdai követelményt, ezért jegyezze fel az ügyfél verzióját az eredmény mellé. Tartsa a profil- és kulcsfájlokat csak a használó fiók számára olvashatónak, ahelyett hogy megosztott telepítéshez lazítaná az engedélyeket.

Írja le, ki indíthatja el az alagutat, melyik csoport engedélyezi, és mi igényel még rendszergazdát. Ez a feljegyzés a következő ügyfélfrissítést tervezett munkává teszi egy találgatásokkal teli délután helyett.