Извршете OpenVPN на Windows без да ги правите корисниците администратори

Корисникот двојно кликнува на OpenVPN GUI, одобрува барање на UAC и го повторува истиот ритуал при следното повторно поврзување. Барањето не е грешка во пакувањето: клиентот создава виртуелен адаптер и ја уредува табелата за рутирање, и двете се привилегирани промени. Корисното прашање е кои од тие права навистина му требаат на корисникот. Услуга плус тесно делегирање ја покрива врската без да дели членство во администратори.

Кои операции навистина бараат покачување на права

Тунелот завршува на виртуелен мрежен интерфејс, а инсталирањето на тој интерфејс е операција на драјвер што еднаш бара администраторски права. Откако адаптерот постои, секоја врска сепак запишува рути и, зависно од профилот, ја менува DNS-конфигурацијата. Токму овие два чекора предизвикуваат покачување на права на обична сметка. Ништо во автентикацијата или шифрирањето не бара администраторски права, и затоа привилегијата може да се оддели.

Одделете го времето на инсталација од времето на поврзување пред да изберете дозвола. Тие имаат различни сопственици и различен животен век.

Користете ја услугата како привилегирана компонента

Поддржаниот распоред извршува Windows услуга што ги има потребните права, а GUI бара од услугата да се поврзе. Така привилегираниот код никогаш не работи во сесијата на корисникот.

sc query OpenVPNService
sc qc OpenVPNService

Работечка услуга чија бинарна патека покажува на инсталираниот клиент е првиот факт што треба да се потврди пред да се делегира нешто. Услугата ги поседува адаптерот и рутите, па корисникот само започнува и запира врска. Ова е формата за заеднички машини, бидејќи сметката што кликнува за поврзување нема постојана привилегија. Прочитајте го описот со sc sdshow пред да го уредите, и чувајте позната добра копија од излезот.

Делегирајте ги промените на рутите на вградена група

За клиент што мора да работи интерактивно, делегираната вградена група е Network Configuration Operators. Таа опфаќа мрежни поставки и промени на рути, а ја исклучува инсталацијата на софтвер и општата административна работа.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Додавањето на сметката не е тивко: стандардната политика уште крева едно барање по сесија, па дозволата го намалува она што покачувањето на права може да го направи, наместо да го отстрани. Документирајте го членството, бидејќи тоа тивко се собира и речиси никогаш не се прегледува. На патот преку услугата, уредување на описот со sc sdset може да делегира започнување и запирање на група, иако печатна грешка во описот може да ги одземе правата за започнување на секоја сметка, а за да се откаже тоа потребен е администратор. Тестирајте ја секоја промена на описот на лабораториска машина пред да стигне до продукциски хост.

Проверете од корисничката сметка

Конфигурацијата направена во администраторска сесија не докажува ништо за сметката што ќе ја користи. Најавете се како тој корисник, поврзете се и споредете ја состојбата на машината пред и потоа.

route print -4
Get-DnsClientServerAddress

Табелата за рутирање треба да ги добие рутите на тунелот, а резолверот треба да покажува на серверите што ги обезбедува VPN додека сте поврзани. По исклучувањето двата излеза треба да се совпаѓаат со копиите што сте ги направиле претходно, и затоа е важно прво да се направат. Ажурирањата на драјверот можат повторно да го воведат администраторското барање, па запишете ја верзијата на клиентот до резултатот. Чувајте ги датотеките на профилот и клучевите читливи само за сметката што ги користи, наместо да ги олабавувате дозволите за заедничка инсталација.

Запишете кој може да го започне тунелот, која група го дозволува и што уште бара администратор. Таа белешка ја претвора следната надградба на клиентот во планирана работа наместо попладне на погодување.