გაუშვით OpenVPN Windows-ზე მომხმარებლების ადმინისტრატორებად გადაქცევის გარეშე

მომხმარებელი ორჯერ აწკაპუნებს OpenVPN-ის GUI-ზე, ადასტურებს UAC-ის მოთხოვნას და შემდეგ ხელახალ დაკავშირებაზე იმეორებს იმავე რიტუალს. მოთხოვნა შეფუთვის შეცდომა არ არის: კლიენტი ქმნის ვირტუალურ ადაპტერს და არედაქტირებს მარშრუტიზაციის ცხრილს, და ორივე პრივილეგირებული ცვლილებაა. სასარგებლო კითხვაა, რომელი მათგანი სჭირდება მომხმარებელს ნამდვილად. სერვისი და ვიწრო დელეგირება ფარავს კავშირს ადმინისტრატორის წევრობის გაცემის გარეშე.

რომელი ოპერაციები მოითხოვს სინამდვილეში უფლებების ამაღლებას

გვირაბი მთავრდება ვირტუალურ ქსელურ ინტერფეისზე, და ამ ინტერფეისის დაყენება დრაივერის ოპერაციაა, რომელიც ერთხელ მოითხოვს ადმინისტრატორის უფლებებს. ადაპტერის არსებობის შემდეგ ყოველი კავშირი მაინც წერს მარშრუტებს და პროფილის მიხედვით ცვლის DNS-ის კონფიგურაციას. სწორედ ეს ორი ნაბიჯი იწვევს უფლებების ამაღლებას ჩვეულებრივ ანგარიშზე. აუთენტიფიკაციაში ან დაშიფვრაში არაფერი მოითხოვს ადმინისტრატორის უფლებებს, და სწორედ ამიტომ შეიძლება პრივილეგიის გამოყოფა.

გამოყავით ინსტალაციის დრო დაკავშირების დროისგან, სანამ ნებართვას აირჩევთ. მათ განსხვავებული მფლობელები და განსხვავებული სიცოცხლის ხანგრძლივობა აქვთ.

გამოიყენეთ სერვისი როგორც პრივილეგირებული კომპონენტი

მხარდაჭერილი განლაგება უშვებს Windows-ის სერვისს, რომელიც ფლობს საჭირო უფლებებს, ხოლო GUI სთხოვს სერვისს დაკავშირებას. ასე პრივილეგირებული კოდი არასდროს მუშაობს მომხმარებლის სესიის შიგნით.

sc query OpenVPNService
sc qc OpenVPNService

მომუშავე სერვისი, რომლის ბინარული გზა დაყენებულ კლიენტზე მიუთითებს, პირველი ფაქტია, რომელიც რაღაცის დელეგირებამდე უნდა დადასტურდეს. სერვისი ფლობს ადაპტერს და მარშრუტებს, ამიტომ მომხმარებელი მხოლოდ კავშირს იწყებს და აჩერებს. ეს არის ფორმა გამოსაყენებლად საერთო მანქანებზე, რადგან დაკავშირებაზე დამკლიკე ანგარიშს მუდმივი პრივილეგია არ აქვს. წაიკითხეთ აღწერილობა sc sdshow -ით რედაქტირებამდე და შეინახეთ გამოსავლის ცნობილი კარგი ასლი.

დელეგირეთ მარშრუტების ცვლილებები ჩაშენებულ ჯგუფს

კლიენტისთვის, რომელიც ინტერაქტიულად უნდა მუშაობდეს, დელეგირებული ჩაშენებული ჯგუფია Network Configuration Operators. ის მოიცავს ქსელის პარამეტრებსა და მარშრუტების ცვლილებებს და გამორიცხავს პროგრამული უზრუნველყოფის ინსტალაციასა და ზოგად ადმინისტრაციულ სამუშაოს.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

ანგარიშის დამატება ჩუმი არ არის: ნაგულისხმევი პოლიტიკა კვლავ ერთ მოთხოვნას აყენებს სესიაზე, ამიტომ ნებართვა ამცირებს იმას, რაც უფლებების ამაღლებას შეუძლია, და არ აუქმებს მას. დაამტკიცეთ წევრობა, რადგან ის ჩუმად გროვდება და თითქმის არასდროს განიხილება. სერვისის გზაზე, აღწერილობის რედაქტირება sc sdset -ით შეიძლება ჯგუფს გადასცეს დაწყება და შეჩერება, თუმცა აღწერილობაში ბეჭდვითი შეცდომა შეიძლება ყველა ანგარიშს წაართვას დაწყების უფლება, და მისი გაუქმება ადმინისტრატორს სჭირდება. გამოსცადეთ აღწერილობის ნებისმიერი ცვლილება ლაბორატორიულ მანქანაზე, სანამ ის წარმოების ჰოსტს მიაღწევს.

გადაამოწმეთ მომხმარებლის ანგარიშიდან

ადმინისტრატორის სესიაში შესრულებული კონფიგურაცია არაფერს ამტკიცებს იმ ანგარიშზე, რომელიც მას გამოიყენებს. შედით როგორც ის მომხმარებელი, დაუკავშირდით და შეადარეთ მანქანის მდგომარეობა დაწყებამდე და შემდეგ.

route print -4
Get-DnsClientServerAddress

მარშრუტიზაციის ცხრილმა უნდა მიიღოს გვირაბის მარშრუტები, და გადამწყვეტი უნდა მიუთითებდეს იმ სერვერებზე, რომლებსაც VPN აწვდის დაკავშირების დროს. გათიშვის შემდეგ ორივე გამოსავალი უნდა ემთხვეოდეს წინასწარ გადაღებულ ასლებს, და სწორედ ამიტომაა მნიშვნელოვანი მათი წინასწარ გადაღება. დრაივერის განახლებებმა შეიძლება კვლავ შემოიტანოს ადმინისტრატორის მოთხოვნა, ამიტომ ჩაწერეთ კლიენტის ვერსია შედეგის გვერდით. შეინახეთ პროფილისა და გასაღების ფაილები წაკითხვადი მხოლოდ მათი მომხმარებელი ანგარიშისთვის, ნაცვლად იმისა, რომ საერთო ინსტალაციისთვის ნებართვები შეასუსტოთ.

ჩაწერეთ, ვის შეუძლია გვირაბის დაწყება, რომელი ჯგუფი იძლევა ამას და რას სჭირდება ჯერ კიდევ ადმინისტრატორი. ეს ჩანაწერი შემდეგ კლიენტის განახლებას დაგეგმილ სამუშაოდ აქცევს, ვარაუდების შუადღის ნაცვლად.