Keyrðu OpenVPN á Windows án þess að gera notendur að stjórnendum

Notandi tvísmellir á OpenVPN-viðmótið, samþykkir UAC-beiðni og endurtekur sömu helgiathöfn við næstu endurtengingu. Beiðnin er ekki pökkunarvilla: biðlarinn býr til sýndar millistykki og ritstýrir leiðartöflunni, og hvort tveggja eru forréttindabreytingar. Gagnlega spurningin er hvaða þessara réttinda notandinn þarf í raun. Þjónusta ásamt þröngri framsali nær yfir tenginguna án þess að úthluta stjórnandaaðild.

Hvaða aðgerðir krefjast í raun hækkunar réttinda

Göngin enda á sýndar netviðmóti, og uppsetning þess viðmóts er reklaraðgerð sem krefst stjórnandaréttinda einu sinni. Eftir að millistykkið er til skrifar hver tenging enn leiðir og breytir DNS-stillingunni eftir sniðinu. Þessi tvö skref eru það sem kalla fram hækkun réttinda á venjulegum reikningi. Ekkert í auðkenningu eða dulkóðun krefst stjórnandaréttinda, og einmitt þess vegna er hægt að aðskilja forréttindin.

Aðskildu uppsetningartíma frá tengitíma áður en þú velur heimild. Þau hafa ólíka eigendur og ólíkan líftíma.

Notaðu þjónustuna sem forréttindaþáttinn

Studda fyrirkomulagið keyrir Windows-þjónustu sem hefur nauðsynlegu réttindin, og viðmót biður þjónustuna að tengjast. Þannig keyrir forréttindakóði aldrei innan setu notandans.

sc query OpenVPNService
sc qc OpenVPNService

Keyrandi þjónusta þar sem tvíundarslóðin vísar á uppsetta biðlarann er fyrsta staðreyndin sem þarf að staðfesta áður en nokkuð er framselt. Þjónustan á millistykkið og leiðirnar, svo notandinn byrjar og stöðvar aðeins tengingu. Þetta er formið sem nota á á sameiginlegum vélum, því reikningurinn sem smellir á tengja hefur engin varanleg forréttindi. Lestu lýsinguna með sc sdshow áður en þú ritstýrir henni, og geymdu þekkta góða afrit af úttakinu.

Framseldu leiðarbreytingar til innbyggðs hóps

Fyrir biðlara sem verður að keyra gagnvirkt er framseldi innbyggði hópurinn Network Configuration Operators. Hann nær yfir nettstillingar og leiðarbreytingar en útilokar hugbúnaðaruppsetningu og almennt stjórnunarstarf.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Að bæta reikningnum við er ekki hljóðlaust: sjálfgefin stefna kallar enn fram eina beiðni á setu, svo heimildin dregur úr því hvað hækkun réttinda getur gert í stað þess að fjarlægja hana. Skjalfestu aðildina, því hún safnast hljóðlega og er nánast aldrei endurskoðuð. Á þjónustuleiðinni getur ritstýring lýsingar með sc sdset framselt byrjun og stöðvun til hóps, þótt innsláttarvilla í lýsingunni geti neitað byrjunarrétti fyrir hvern reikning, og að afturkalla það krefst stjórnanda. Prófaðu hverja lýsingarbreytingu á rannsóknarstofuvél áður en hún nær framleiðsluhýsil.

Staðfestu frá notendareikningnum

Stillingar sem gerðar eru í stjórnandasetu sanna ekkert um reikninginn sem mun nota þær. Skráðu þig inn sem sá notandi, tengdu og berðu saman ástand vélarinnar fyrir og eftir.

route print -4
Get-DnsClientServerAddress

Leiðartaflan ætti að fá leiðir ganganna, og leysirinn ætti að vísa á netþjónana sem VPN-ið býður upp á meðan tengt er. Eftir aftengingu ættu bæði úttökin að passa við afritin sem þú tókst fyrirfram, og þess vegna skiptir máli að taka þau fyrst. Reklaruppfærslur geta endurtekið stjórnandakröfuna, svo skráðu biðlarútgáfuna við hlið niðurstöðunnar. Haltu snið- og lyklaskrám læsilegum aðeins fyrir reikninginn sem notar þær í stað þess að slaka á heimildum fyrir sameiginlega uppsetningu.

Skrifaðu niður hver getur byrjað göngin, hvaða hópur veitir það og hvað krefst enn stjórnanda. Þessi athugasemd gerir næstu biðlarauppfærslu að skipulögðu verki í stað síðdegis af getgátum.