वापरकर्त्यांना अ‍ॅडमिन न बनवता Windows वर OpenVPN चालवा

वापरकर्ता OpenVPN GUI वर दुहेरी-क्लिक करतो, UAC सूचना स्वीकारतो आणि पुढील पुन्हा-कनेक्शनवर तीच विधी पुन्हा करतो। ही सूचना पॅकेजिंगची चूक नाही: क्लायंट व्हर्च्युअल अडॅप्टर तयार करतो आणि राउटिंग टेबल संपादित करतो, आणि दोन्ही विशेषाधिकाराचे बदल आहेत। उपयोगी प्रश्न असा आहे की वापरकर्त्याला त्यातील कोणते अधिकार खरोखर आवश्यक आहेत। सेवा आणि मर्यादित प्रतिनिधित्व प्रशासक सदस्यत्व न देता कनेक्शन झाकते।

कोणत्या क्रियांना खरोखर विशेषाधिकार वाढ आवश्यक आहे

टनेल व्हर्च्युअल नेटवर्क इंटरफेसवर संपते, आणि तो इंटरफेस स्थापित करणे एकदा प्रशासक अधिकार आवश्यक असलेली ड्राइव्हर क्रिया आहे। अडॅप्टर तयार झाल्यावरही प्रत्येक कनेक्शन रूट लिहिते आणि प्रोफाइलनुसार DNS कॉन्फिगरेशन बदलते। सामान्य खात्यावर विशेषाधिकार वाढ घडवणारी ही दोन पायऱ्या आहेत। प्रमाणीकरण किंवा एन्क्रिप्शनमध्ये कशालाही प्रशासक अधिकार आवश्यक नाहीत, आणि म्हणूनच हा विशेषाधिकार वेगळा करता येतो।

अनुदान निवडण्यापूर्वी स्थापना-वेळ कनेक्ट-वेळपासून वेगळा करा। त्यांचे मालक आणि आयुष्य वेगळे आहेत।

सेवेचा विशेषाधिकारित घटक म्हणून वापर करा

समर्थित रचना आवश्यक अधिकार असलेली Windows सेवा चालवते, आणि GUI सेवेला कनेक्ट होण्यास सांगते। मग विशेषाधिकारित कोड वापरकर्त्याच्या सत्रात कधीही चालत नाही।

sc query OpenVPNService
sc qc OpenVPNService

ज्याचा बायनरी मार्ग स्थापित क्लायंटकडे निर्देश करतो अशी चालू सेवा ही काहीही प्रतिनिधित्व करण्यापूर्वी पुष्टी करावयाची पहिली गोष्ट आहे। अडॅप्टर आणि रूट सेवेच्या मालकीचे आहेत, म्हणून वापरकर्ता फक्त कनेक्शन सुरू आणि बंद करतो। सामायिक मशीनवर हाच आकार वापरावा, कारण कनेक्टवर क्लिक करणाऱ्या खात्याकडे कायमचा विशेषाधिकार नसतो। वर्णनकर्ता sc sdshow ने वाचा, संपादित करण्यापूर्वी, आणि आउटपुटची ज्ञात-चांगली प्रत ठेवा।

अंगभूत गटासह रूट बदल प्रतिनिधित्व करा

परस्परसंवादी पद्धतीने चालणाऱ्या क्लायंटसाठी, प्रतिनिधित्व केलेला अंगभूत गट Network Configuration Operators आहे। तो नेटवर्क सेटिंग्ज आणि रूट बदल झाकतो, तर सॉफ्टवेअर स्थापना आणि सर्वसाधारण प्रशासकीय काम वगळतो।

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

खाते जोडणे शांत नाही: डीफॉल्ट धोरण अजूनही प्रति सत्र एक सूचना उठवते, म्हणून अनुदान विशेषाधिकार वाढ काय करू शकते ते कमी करते, ते काढून टाकत नाही। सदस्यत्वाची नोंद ठेवा, कारण ते शांतपणे साचते आणि जवळजवळ कधीही पुनरावलोकन होत नाही। सेवा मार्गावर, sc sdset ने वर्णनकर्ता संपादन करून गटाला सुरू आणि थांबवणे प्रतिनिधित्व करता येते, तथापि वर्णनकर्त्यातील टायपो प्रत्येक खात्याचे सुरू करण्याचे अधिकार नाकारू शकतो, आणि ते पूर्ववत करण्यासाठी प्रशासक लागतो। उत्पादन होस्टवर पोहोचण्यापूर्वी कोणताही वर्णनकर्ता बदल प्रयोगशाळेच्या मशीनवर तपासा।

वापरकर्ता खात्यातून सत्यापित करा

प्रशासक सत्रात केलेले कॉन्फिगरेशन ते वापरणाऱ्या खात्याबद्दल काहीही सिद्ध करत नाही। त्या वापरकर्त्याप्रमाणे साइन इन करा, कनेक्ट करा आणि आधी व नंतर मशीनची स्थिती तुलना करा।

route print -4
Get-DnsClientServerAddress

राउटिंग टेबलमध्ये टनेलचे रूट जोडले जावेत, आणि कनेक्ट असताना रिझॉल्व्हरने VPN पुरवत असलेल्या सर्व्हरकडे निर्देश करावा। डिस्कनेक्टनंतर दोन्ही आउटपुट आधी घेतलेल्या प्रतींशी जुळावीत, आणि म्हणूनच त्या आधी घेणे महत्त्वाचे आहे। ड्राइव्हर अपडेट प्रशासकाची आवश्यकता पुन्हा आणू शकतात, म्हणून निकालाच्या बाजूला क्लायंट आवृत्ती नोंदवा। सामायिक स्थापनेसाठी परवानग्या सैल करण्याऐवजी प्रोफाइल आणि की फाइली केवळ त्या वापरणाऱ्या खात्यासाठी वाचनीय ठेवा।

टनेल कोण सुरू करू शकतो, कोणता गट ते देतो आणि अजून कशासाठी प्रशासक आवश्यक आहे हे लिहून ठेवा। ती नोंद पुढील क्लायंट अपडेटला अंदाजाच्या एका दुपारऐवजी नियोजित कामात बदलते।