Пайдаланушыларды әкімші етпей-ақ Windows-та OpenVPN іске қосу

Пайдаланушы OpenVPN GUI бағдарламасын екі рет басып, UAC сұранысын мақұлдайды және келесі қайта қосылуда сол рәсімді қайталайды. Сұраныс қаптама қатесі емес: клиент виртуалды адаптер жасайды және маршруттау кестесін өңдейді, ал екеуі де артықшылықты өзгерістер. Пайдалы сұрақ — пайдаланушыға сол құқықтардың қайсысы шынымен қажет. Қызмет пен тар делегациялау әкімші мүшелігін таратпай-ақ қосылымды қамтиды.

Қандай операциялар шынымен құқықты көтеруді талап етеді

Туннель виртуалды желілік интерфейсте аяқталады, ал сол интерфейсті орнату бір рет әкімші құқықтарын қажет ететін драйвер операциясы. Адаптер пайда болғаннан кейін де әр қосылым маршруттар жазады және профильге қарай DNS конфигурациясын өзгертеді. Кәдімгі тіркелгіде құқықты көтеруді дәл осы екі қадам тудырады. Аутентификацияда немесе шифрлауда ештеңе әкімші құқықтарын талап етпейді, сондықтан артықшылықты бөлектеуге болады.

Рұқсатты таңдамас бұрын орнату уақытын қосылу уақытынан ажыратыңыз. Олардың иелері мен өмір сүру мерзімі әртүрлі.

Қызметті артықшылықты құрамдас ретінде пайдаланыңыз

Қолдау көрсетілетін орналасу қажетті құқықтарға ие Windows қызметін іске қосады, ал GUI қызметтен қосылуды сұрайды. Сонда артықшылықты код пайдаланушы сессиясының ішінде ешқашан орындалмайды.

sc query OpenVPNService
sc qc OpenVPNService

Екілік жолы орнатылған клиентке сілтейтін жұмыс істеп тұрған қызмет — бірдеңені делегациялау алдында расталатын бірінші факт. Адаптер мен маршруттар қызметке тиесілі, сондықтан пайдаланушы тек қосылымды бастайды және тоқтатады. Бұл ортақ машиналарда қолданылатын пішін, өйткені қосылуды басатын тіркелгіде тұрақты артықшылық жоқ. Дескрипторды sc sdshow арқылы оқыңыз, өңдеуден бұрын, және шығыстың белгілі жарамды көшірмесін сақтаңыз.

Маршрут өзгерістерін кірістірілген топқа делегациялаңыз

Интерактивті түрде жұмыс істеуі керек клиент үшін делегацияланған кірістірілген топ — Network Configuration Operators. Ол желі параметрлері мен маршрут өзгерістерін қамтиды, ал бағдарлама орнату мен жалпы әкімшілік жұмысты қоспайды.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Тіркелгіні қосу үнсіз емес: әдепкі саясат сессия сайын бір сұранысты әлі де көтереді, сондықтан рұқсат құқықты көтерудің не істей алатынын азайтады, оны жоймайды. Мүшелікті құжаттаңыз, өйткені ол үнсіз жинақталады және ол дерлік қаралмайды. Қызмет жолында дескрипторды sc sdset арқылы өңдеу бастау мен тоқтатуды топқа делегациялай алады, алайда дескриптордағы қате басып шығару барлық тіркелгінің бастау құқығынан айыруы мүмкін, ал оны болдырмау үшін әкімші қажет. Кез келген дескриптор өзгерісін өндірістік хостқа жетпей тұрып зертханалық машинада сынаңыз.

Пайдаланушы тіркелгісінен тексеріңіз

Әкімші сессиясында жасалған конфигурация оны пайдаланатын тіркелгі туралы ештеңе дәлелдемейді. Сол пайдаланушы ретінде кіріңіз, қосылыңыз және машина күйін бұрын және кейін салыстырыңыз.

route print -4
Get-DnsClientServerAddress

Маршруттау кестесіне туннель маршруттары қосылуы керек, ал шешуші қосылыс кезінде VPN ұсынатын серверлерге сілтеуі керек. Ажыратқаннан кейін екі шығыс та алдын ала алынған көшірмелерге сай келуі керек, сондықтан оларды алдымен алу маңызды. Драйвер жаңартулары әкімші талабын қайта енгізуі мүмкін, сондықтан клиент нұсқасын нәтиженің жанына жазыңыз. Профиль мен кілт файлдарын ортақ орнату үшін рұқсаттарды босаңсытудың орнына тек оларды пайдаланатын тіркелгі үшін оқуға болатындай етіп ұстаңыз.

Туннельді кім бастай алатынын, қай топ оған рұқсат беретінін және әлі де не үшін әкімші қажет екенін жазыңыз. Бұл жазба келесі клиент жаңартуын болжамдарға толы түстен кейін емес, жоспарлы жұмысқа айналдырады.