Palaidiet OpenVPN operētājsistēmā Windows, nepadarot lietotājus par administratoriem

Lietotājs veic dubultklikšķi uz OpenVPN GUI, apstiprina UAC pieprasījumu un nākamajā atkārtotajā savienojumā atkārto to pašu rituālu. Pieprasījums nav iepakošanas kļūda: klients izveido virtuālo adapteri un rediģē maršrutēšanas tabulu, un abas ir privileģētas izmaiņas. Noderīgais jautājums ir, kuras no šīm tiesībām lietotājam patiešām vajag. Pakalpojums un šaura deleģēšana nodrošina savienojumu, nepiešķirot administratora dalību.

Kuras darbības patiešām prasa tiesību paaugstināšanu

Tunelis beidzas virtuālajā tīkla saskarnē, un šīs saskarnes instalēšana ir draivera darbība, kas vienu reizi prasa administratora tiesības. Kad adapteris jau pastāv, katrs savienojums joprojām raksta maršrutus un atkarībā no profila maina DNS konfigurāciju. Tieši šie divi soļi parastā kontā izraisa tiesību paaugstināšanu. Nekas autentifikācijā vai šifrēšanā neprasa administratora tiesības, un tieši tāpēc privileģiju var atdalīt.

Atdaliet instalēšanas laiku no savienošanas laika, pirms izvēlaties piešķīrumu. Tiem ir dažādi īpašnieki un dažāds mūžs.

Izmantojiet pakalpojumu kā privileģēto komponentu

Atbalstītā kārtība palaiž Windows pakalpojumu, kuram ir vajadzīgās tiesības, un GUI lūdz pakalpojumam savienoties. Tādējādi privileģētais kods nekad nedarbojas lietotāja sesijā.

sc query OpenVPNService
sc qc OpenVPNService

Darbojošs pakalpojums, kura binārais ceļš norāda uz instalēto klientu, ir pirmais fakts, kas jāapstiprina pirms kaut kā deleģēšanas. Pakalpojumam pieder adapteris un maršruti, tāpēc lietotājs tikai sāk un aptur savienojumu. Šī ir forma, kas jāizmanto koplietojamās iekārtās, jo kontam, kas klikšķina uz savienot, nav pastāvīgu privileģiju. Lasiet aprakstu ar sc sdshow pirms to rediģējat, un saglabājiet zināmu labu izvades kopiju.

Deleģējiet maršrutu izmaiņas iebūvētajai grupai

Klientam, kuram jādarbojas interaktīvi, deleģētā iebūvētā grupa ir Network Configuration Operators. Tā aptver tīkla iestatījumus un maršrutu izmaiņas, bet izslēdz programmatūras instalēšanu un vispārēju administratīvo darbu.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Konta pievienošana nav klusa: noklusējuma politika joprojām katrā sesijā izraisa vienu pieprasījumu, tāpēc piešķīrums samazina to, ko tiesību paaugstināšana var darīt, nevis to novērš. Dokumentējiet dalību, jo tā klusi uzkrājas un gandrīz nekad netiek pārskatīta. Pakalpojuma ceļā apraksta rediģēšana ar sc sdset var deleģēt sākšanu un apturēšanu grupai, lai gan drukas kļūda aprakstā var liegt sākšanas tiesības ikvienam kontam, un tās atsaukšanai vajadzīgs administrators. Pārbaudiet jebkuru apraksta izmaiņu laboratorijas iekārtā, pirms tā nonāk ražošanas resursdatorā.

Pārbaudiet no lietotāja konta

Administratora sesijā veiktā konfigurācija neko nepierāda par kontu, kas to izmantos. Piesakieties kā šis lietotājs, izveidojiet savienojumu un salīdziniet iekārtas stāvokli pirms un pēc.

route print -4
Get-DnsClientServerAddress

Maršrutēšanas tabulai jāiegūst tuneļa maršruti, un atrisinātājam savienojuma laikā jānorāda uz serveriem, ko nodrošina VPN. Pēc atvienošanas abām izvadēm jāatbilst iepriekš uzņemtajām kopijām, un tāpēc ir svarīgi tās uzņemt vispirms. Draivera atjauninājumi var atkal ieviest administratora prasību, tāpēc pierakstiet klienta versiju blakus rezultātam. Turiet profila un atslēgu failus lasāmus tikai to izmantojošajam kontam, nevis mīkstiniet atļaujas koplietotai instalācijai.

Pierakstiet, kas var sākt tuneli, kura grupa to piešķir un kam vēl vajadzīgs administrators. Šī piezīme pārvērš nākamo klienta atjauninājumu plānotā darbā, nevis minējumu pēcpusdienā.