Jalankan OpenVPN pada Windows tanpa menjadikan pengguna pentadbir

Pengguna mengklik dua kali GUI OpenVPN, meluluskan gesaan UAC, dan mengulangi ritual yang sama pada sambungan semula berikutnya. Gesaan itu bukan kesilapan pembungkusan: klien mencipta penyesuai maya dan menyunting jadual penghalaan, dan kedua-duanya ialah perubahan istimewa. Soalan yang berguna ialah hak mana yang benar-benar diperlukan oleh pengguna. Perkhidmatan serta delegasi sempit meliputi sambungan tanpa mengagihkan keahlian pentadbir.

Operasi mana yang benar-benar memerlukan peningkatan hak

Terowong berakhir pada antara muka rangkaian maya, dan memasang antara muka itu ialah operasi pemandu yang memerlukan hak pentadbir sekali. Selepas penyesuai wujud, setiap sambungan masih menulis laluan dan, bergantung pada profil, menukar konfigurasi DNS. Kedua-dua langkah itulah yang mencetuskan peningkatan hak pada akaun biasa. Tiada apa-apa dalam pengesahan atau penyulitan memerlukan hak pentadbir, dan itulah sebabnya keistimewaan itu boleh dipisahkan.

Asingkan masa pemasangan daripada masa sambungan sebelum memilih pemberian. Kedua-duanya mempunyai pemilik dan jangka hayat yang berbeza.

Gunakan perkhidmatan sebagai komponen istimewa

Susunan yang disokong menjalankan perkhidmatan Windows yang memegang hak yang diperlukan, dengan GUI meminta perkhidmatan itu menyambung. Dengan itu kod istimewa tidak pernah berjalan dalam sesi pengguna.

sc query OpenVPNService
sc qc OpenVPNService

Perkhidmatan yang berjalan dan laluan binari menunjuk kepada klien yang dipasang ialah fakta pertama yang perlu disahkan sebelum mendelegasikan apa-apa. Perkhidmatan memiliki penyesuai dan laluan, jadi pengguna hanya memulakan dan menghentikan sambungan. Inilah bentuk yang perlu digunakan pada mesin dikongsi, kerana akaun yang mengklik sambung tidak memegang keistimewaan tetap. Baca deskriptor dengan sc sdshow sebelum menyuntingnya, dan simpan salinan output yang diketahui baik.

Delegasikan perubahan laluan kepada kumpulan terbina dalam

Bagi klien yang mesti berjalan secara interaktif, kumpulan terbina dalam yang didelegasikan ialah Network Configuration Operators. Ia meliputi tetapan rangkaian dan perubahan laluan sambil mengecualikan pemasangan perisian dan kerja pentadbiran am.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Menambah akaun tidak senyap: dasar lalai masih menaikkan satu gesaan setiap sesi, jadi pemberian itu mengurangkan apa yang boleh dilakukan oleh peningkatan hak dan bukan menghapuskannya. Dokumenkan keahlian, kerana ia terkumpul secara senyap dan hampir tidak pernah disemak. Pada laluan perkhidmatan, suntingan deskriptor dengan sc sdset boleh mendelegasikan mula dan henti kepada kumpulan, walaupun salah taip dalam deskriptor boleh menafikan hak mula bagi setiap akaun, dan membatalkannya memerlukan pentadbir. Uji setiap perubahan deskriptor pada mesin makmal sebelum ia sampai ke hos pengeluaran.

Sahkan daripada akaun pengguna

Konfigurasi yang dilakukan dalam sesi pentadbir tidak membuktikan apa-apa tentang akaun yang akan menggunakannya. Log masuk sebagai pengguna itu, sambung, dan bandingkan keadaan mesin sebelum dan selepas.

route print -4
Get-DnsClientServerAddress

Jadual penghalaan sepatutnya memperoleh laluan terowong, dan penyelesai sepatutnya menunjuk kepada pelayan yang disediakan VPN semasa bersambung. Selepas terputus, kedua-dua output sepatutnya sepadan dengan salinan yang anda ambil lebih awal, dan itulah sebabnya mengambilnya dahulu penting. Kemas kini pemandu boleh memperkenalkan semula keperluan pentadbir, jadi catat versi klien di sebelah hasil. Simpan fail profil dan kunci boleh dibaca hanya oleh akaun yang menggunakannya dan bukannya melonggarkan kebenaran untuk pemasangan dikongsi.

Tuliskan siapa yang boleh memulakan terowong, kumpulan mana yang memberikannya, dan apa yang masih memerlukan pentadbir. Nota itu menjadikan kemas kini klien seterusnya kerja terancang dan bukannya petang meneka.