Mexxi OpenVPN fuq Windows mingħajr ma tagħmel lill-utenti amministraturi

Utent jagħmel double click fuq il-GUI tal-OpenVPN, japprova talba UAC, u jirrepeti l-istess ritwal fil-qabla li jmiss. It-talba mhix żball tal-ippakkjar: il-klijent joħloq adapter virtwali u jeditja t-tabella tal-instradar, u t-tnejn huma bidliet privileġġjati. Il-mistoqsija utli hija liema minn dawn id-drittijiet l-utent verament għandu bżonn. Servizz flimkien ma’ delega dejqa jkopri l-konnessjoni mingħajr ma jqassam sħubija ta’ amministratur.

Liema operazzjonijiet verament jeħtieġu żieda fil-privileġġi

Il-mina tintemm fuq interface tan-netwerk virtwali, u l-installazzjoni ta’ dak l-interface hija operazzjoni tad-driver li teħtieġ darba d-drittijiet ta’ amministratur. Wara li l-adapter ikun jeżisti, kull konnessjoni xorta tikteb rotot u, skont il-profil, tbiddel il-konfigurazzjoni tad-DNS. Dawn iż-żewġ passi huma li jikkawżaw iż-żieda fil-privileġġi fuq kont ordinarju. Xejn fl-awtentikazzjoni jew fil-kriptaġġ ma jeħtieġ drittijiet ta’ amministratur, u huwa preċiżament għalhekk li l-privileġġ jista’ jinqata’ barra.

Issepara l-ħin tal-installazzjoni mill-ħin tal-konnessjoni qabel tagħżel għotja. Għandhom sidien differenti u tulijiet differenti.

Uża s-servizz bħala l-komponent privileġġjat

L-arranġament appoġġjat imexxi servizz tal-Windows li jżomm id-drittijiet meħtieġa, b’GUI li jitlob lis-servizz biex jgħaqqad. Hekk il-kodiċi privileġġjat qatt ma jaħdem fis-sessjoni tal-utent.

sc query OpenVPNService
sc qc OpenVPNService

Servizz li qed imexxi u li l-mogħdija binarja tiegħu tindika lejn il-klijent installat huwa l-ewwel fatt li għandu jiġi kkonfermat qabel ma tiġi delegata xi ħaġa. Is-servizz jippossjedi l-adapter u r-rotot, għalhekk l-utent biss jibda u jwaqqaf konnessjoni. Din hija l-forma li għandha tintuża fuq magni maqsuma, għax il-kont li jikklikkja fuq għaqqad ma jżommx privileġġ permanenti. Aqra d-deskrittur b’ sc sdshow qabel ma teditalu, u żomm kopja tajba magħrufa tal-output.

Iddelega l-bidliet fir-rotot lil grupp integrat

Għal klijent li jrid imexxi b’mod interattiv, il-grupp integrat iddelegat huwa Network Configuration Operators. Ikopri s-settings tan-netwerk u l-bidliet fir-rotot filwaqt li jeskludi l-installazzjoni tas-software u x-xogħol amministrattiv ġenerali.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Iż-żieda tal-kont mhix siekta: il-politika default xorta tgħolli talba waħda għal kull sessjoni, allura l-għotja tnaqqas dak li tista’ tagħmel iż-żieda fil-privileġġi minflok ma tneħħiha. Iddokumenta s-sħubija, għax tinġema’ bil-kwiet u kważi qatt ma tiġi riveduta. Fil-passaġġ tas-servizz, editjar tad-deskrittur b’ sc sdset jista’ jiddelega l-bidu u t-twaqqif lil grupp, għalkemm żball tat-tip fid-deskrittur jista’ jiċħad id-drittijiet tal-bidu lil kull kont, u biex dan jitħassar jeħtieġ amministratur. Ipprova kull bidla fid-deskrittur fuq magna tal-laboratorju qabel ma tasal fuq host tal-produzzjoni.

Ivverifika mill-kont tal-utent

Konfigurazzjoni magħmula f’sessjoni ta’ amministratur ma tipprova xejn dwar il-kont li se jużaha. Idħol bħala dak l-utent, għaqqad, u qabbel l-istat tal-magna qabel u wara.

route print -4
Get-DnsClientServerAddress

It-tabella tal-instradar għandha tikseb ir-rotot tal-mina, u s-solver għandu jindika lejn is-servers li l-VPN jipprovdi waqt li tkun konness. Wara l-iskonnessjoni ż-żewġ outputs għandhom jaqblu mal-kopji li ħadt qabel, u għalhekk huwa importanti li taħdimhom l-ewwel. L-aġġornamenti tad-driver jistgħu jerġgħu jdaħħlu r-rekwiżit tal-amministratur, għalhekk innota l-verżjoni tal-klijent ħdejn ir-riżultat. Żomm il-fajls tal-profil u tal-keys jinqraw biss mill-kont li jużahom minflok ma tħoll il-permessi għal installazzjoni maqsuma.

Ikteb min jista’ jibda l-mina, liema grupp jagħtiha, u x’għadu jeħtieġ amministratur. Dik in-nota ddawwar l-aġġornament li jmiss tal-klijent f’xogħol ippjanat minflok nofsinhar ta’ tbassir.