Paleiskite OpenVPN sistemoje Windows nepaverčiant naudotojų administratoriais

Naudotojas dukart spusteli OpenVPN GUI, patvirtina UAC užklausą ir kitą kartą prisijungdamas pakartoja tą pačią apeigą. Užklausa nėra pakavimo klaida: klientas sukuria virtualų adapterį ir redaguoja maršrutizavimo lentelę, o abu yra privilegijuoti pakeitimai. Naudingas klausimas – kurių iš šių teisių naudotojui iš tikrųjų reikia. Paslauga ir siaura delegacija apima ryšį nesuteikiant administratoriaus narystės.

Kurios operacijos iš tikrųjų reikalauja teisių padidinimo

Tunelis baigiasi virtualiame tinklo sąsajoje, o šios sąsajos įdiegimas yra tvarkyklės operacija, vieną kartą reikalaujanti administratoriaus teisių. Kai adapteris jau yra, kiekvienas ryšys vis tiek rašo maršrutus ir, priklausomai nuo profilio, keičia DNS konfigūraciją. Būtent šie du žingsniai įprastoje paskyroje sukelia teisių padidinimą. Nieko autentifikavime ar šifravime nereikia administratoriaus teisių, ir būtent todėl privilegiją galima atskirti.

Atskirkite diegimo laiką nuo prisijungimo laiko prieš pasirinkdami suteikimą. Jie turi skirtingus savininkus ir skirtingą gyvavimo trukmę.

Naudokite paslaugą kaip privilegijuotą komponentą

Palaikoma tvarka paleidžia Windows paslaugą, kuri turi reikiamas teises, o GUI prašo paslaugos prisijungti. Taip privilegijuotas kodas niekada neveikia naudotojo sesijoje.

sc query OpenVPNService
sc qc OpenVPNService

Veikianti paslauga, kurios dvejetainis kelias nurodo į įdiegtą klientą, yra pirmasis faktas, kurį reikia patvirtinti prieš ką nors deleguojant. Paslauga valdo adapterį ir maršrutus, todėl naudotojas tik pradeda ir sustabdo ryšį. Tai forma, kurią reikia naudoti bendruose kompiuteriuose, nes paskyra, kuri spusteli prisijungti, neturi nuolatinės privilegijos. Skaitykite aprašą su sc sdshow prieš jį redaguodami, ir pasilikite žinomai gerą išvesties kopiją.

Deleguokite maršrutų pakeitimus įtaisytajai grupei

Klientui, kuris turi veikti interaktyviai, deleguota įtaisytoji grupė yra Network Configuration Operators. Ji apima tinklo nustatymus ir maršrutų pakeitimus, tačiau neapima programinės įrangos diegimo ir bendro administravimo darbo.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Paskyros pridėjimas nėra tylus: numatytoji politika vis dar iškelia vieną užklausą sesijai, todėl suteikimas sumažina, ką gali padaryti teisių padidinimas, o ne pašalina jį. Dokumentuokite narystę, nes ji tyliai kaupiasi ir beveik niekada neperžiūrima. Paslaugos kelyje aprašo redagavimas su sc sdset gali deleguoti paleidimą ir sustabdymą grupei, nors rašybos klaida apraše gali atimti paleidimo teises iš visų paskyrų, o atšaukti tai reikia administratoriaus. Išbandykite bet kokį aprašo pakeitimą laboratoriniame kompiuteryje, kol jis nepasiekė gamybinio serverio.

Patikrinkite iš naudotojo paskyros

Administratoriaus sesijoje atlikta konfigūracija nieko neįrodo apie paskyrą, kuri ja naudosis. Prisijunkite kaip tas naudotojas, prisijunkite prie tinklo ir palyginkite kompiuterio būseną prieš ir po.

route print -4
Get-DnsClientServerAddress

Maršrutizavimo lentelė turėtų gauti tunelio maršrutus, o resolveris prisijungus turėtų rodyti į serverius, kuriuos teikia VPN. Po atsijungimo abi išvestys turėtų sutapti su anksčiau padarytomis kopijomis, todėl svarbu jas padaryti pirmiausia. Tvarkyklės naujinimai gali grąžinti administratoriaus reikalavimą, todėl užrašykite kliento versiją šalia rezultato. Laikykite profilio ir raktų failus skaitomus tik juos naudojančiai paskyrai, o ne sušvelninkite leidimus bendram diegimui.

Užrašykite, kas gali paleisti tunelį, kuri grupė tai suteikia ir ko dar reikia administratoriaus. Ta pastaba paverčia kitą kliento naujinimą suplanuotu darbu, o ne spėliojimų popietę.