OpenVPN op Windows lafen, ouni Benotzer zu Administrateuren ze maachen

E Benotzer mécht en Duebelklick op d’OpenVPN-GUI, akzeptéiert eng UAC-Ufro an erënnert deeselwechte Ritual bei der nächster Verbindung. D’Ufro ass kee Verpackungsfehler: de Client erstellt en virtuelle Adapter an ännert d’Routing-Tabelle, an alleb zwee si privilegiéiert Ännerungen. Déi nëtzlech Fro ass, wéi eng vun dësen Droits de Benotzer tatsächlech brauch. En Déngscht plus eng schmuel Delegatioun deckt d’Verbindung of, ouni Administrateurs-Memberschaft auszedeelen.

Wéi eng Operatioune brauchen tatsächlech eng Erhéijung vun de Rechter

Den Tunnel endet op enger virtueller Netzwierk-Schnittstell, an dës Schnittstell z’installéieren ass eng Treiber-Operatioun, déi eemol Administrateursrechter brauch. Nodeems den Adapter existéiert, schreift all Verbindung nach ëmmer Routen an ännert, jee no Profil, d’DNS-Konfiguratioun. Dës zwee Schrëtt sinn et, déi d’Erhéijung vun de Rechter op engem normale Kont ausléisen. Näischt an der Authentifikatioun oder Verschlësselung brauch Administrateursrechter, an genee dowéinst kann de Privileg ofgetrennt ginn.

Trennt d’Installatiounszäit vun der Verbindungszäit, ier Dir eng Autorisatioun auswielt. Si hunn ënnerschiddlech Besëtzer an ënnerschiddlech Liewensdaueren.

Benotzt den Déngscht als privilegiéierte Komponent

Déi ënnerstëtzt Arrangement lafët en Windows-Déngscht, deen déi noutwendeg Rechter huet, an eng GUI freet den Déngscht, sech ze verbannen. Sou lafët privilegiéierte Code ni bannent der Sëtzung vum Benotzer.

sc query OpenVPNService
sc qc OpenVPNService

En Déngscht, deen agehëmmt ass, an deem seng binär Wee op de installéierte Client weist, ass déi éischt Tatsaach, déi virun enger Delegatioun confirméiert muss ginn. Den Déngscht besëtzt den Adapter an d’Routen, also start a stoppt de Benotzer just eng Verbindung. Dëst ass d’Form fir gemeinsam genotzt Rechner, well de Kont, dee op Verbannen klickt, kee bestännege Privileg huet. Liest den Deskriptor mat sc sdshow ier Dir en ännert, a behält eng bekannt gutt Kopie vun der Ausgab.

Delegt Routenännerungen un eng agebaut Grupp

Fir e Client, dee muss interaktiv lafen, ass déi delegéiert agebaut Grupp Network Configuration Operators. Si deckt Netzwierkastellungen a Routenännerungen of an enthält Softwareinstallatioun a allgemeng administrativ Aarbecht aus.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

D’Kont bäizefügen ass net roueg: d’Standardpolitik hieft nach ëmmer eng Ufro pro Sëtzung, also reduzéiert d’Autorisatioun wat d’Erhéijung vun de Rechter kann, amplaz se ze läschen. Dokumentéiert d’Memberschaft, well se sech roueg accumuléiert a bal ni iwwerpréift gëtt. Op dem Déngschtwee kann eng Deskriptor-Ännerung mat sc sdset Start a Stopp un eng Grupp delegéieren, obwuel e Tippfeeler am Deskriptor all Kont d’Startrechter verweigere kann, an d’Réckgängig brauch en Administrateur. Test all Deskriptor-Ännerung op enger Laborrechner, ier se en Produktiounshost erreecht.

Iwwerpréift vum Benotzerkont aus

Eng Konfiguratioun, déi an enger Administrateurssëtzung gemaach gouf, beweist näischt iwwer de Kont, deen se benotze wäert. Loggt Iech als dee Benotzer an, verbënnt Iech a vergläicht den Zoustand vum Rechner virun an duerno.

route print -4
Get-DnsClientServerAddress

D’Routing-Tabelle sollt d’Tunnelrouten kréien, an den Resolver sollt op d’Server weisen, déi de VPN während der Verbindung ubitt. Nom Trennen sollten déi zwou Ausgaben mat de Kopien iwwereneestëmmen, déi Dir virdru gemaach hutt, an dowéinst ass et wichteg, se fir d’éischt ze maachen. Treiberupdates kënnen d’Administrateursfuerderung erëm aféieren, also notéiert d’Clientversioun nieft dem Resultat. Hält Profil- a Schlësselfichieren nëmme fir de Kont liesbar, deen se benotzt, amplaz d’Berechtegungen fir eng gemeinsam Installatioun ze läschen.

Schreift op, wien den Tunnel starte kann, wéi eng Grupp dat autoriséiert a wat nach en Administrateur brauch. Dës Notiz mécht de nächsten Clientupdate zu geplangter Aarbecht amplaz engem Nomëtteg voller Vermutungen.