OpenVPN op Windows draaien zonder gebruikers beheerders te maken

Een gebruiker dubbelklikt op de OpenVPN-GUI, keurt een UAC-melding goed en herhaalt hetzelfde ritueel bij de volgende herverbinding. De melding is geen verpakkingsfout: de client maakt een virtuele adapter aan en bewerkt de routingtabel, en beide zijn bevoorrechte wijzigingen. De nuttige vraag is welke van die rechten de gebruiker werkelijk nodig heeft. Een service plus een smalle delegatie dekt de verbinding zonder beheerderslidmaatschap uit te delen.

Welke bewerkingen vereisen werkelijk verhoging

De tunnel eindigt op een virtuele netwerkinterface, en het installeren van die interface is een stuurprogrammabewerking die één keer beheerdersrechten vereist. Nadat de adapter bestaat, schrijft elke verbinding nog steeds routes en wijzigt, afhankelijk van het profiel, de DNS-configuratie. Die twee stappen veroorzaken de verhoging op een gewoon account. Niets in authenticatie of versleuteling vereist beheerdersrechten, en precies daarom kan het voorrecht worden afgesplitst.

Scheid installatietijd van verbindingstijd voordat u een toekenning kiest. Ze hebben verschillende eigenaren en verschillende levensduur.

Gebruik de service als het bevoorrechte onderdeel

De ondersteunde opzet voert een Windows-service uit die de vereiste rechten bezit, waarbij een GUI de service vraagt om te verbinden. Zo draait bevoorrechte code nooit binnen de sessie van de gebruiker.

sc query OpenVPNService
sc qc OpenVPNService

Een draaiende service waarvan het binaire pad naar de geïnstalleerde client wijst, is het eerste feit dat moet worden bevestigd voordat iets wordt gedelegeerd. De service bezit de adapter en de routes, dus de gebruiker start en stopt alleen een verbinding. Dit is de vorm voor gedeelde machines, omdat het account dat op verbinden klikt geen blijvend voorrecht heeft. Lees het descriptor met sc sdshow voordat u het bewerkt, en bewaar een bekend goede kopie van de uitvoer.

Delegeer routewijzigingen aan een ingebouwde groep

Voor een client die interactief moet draaien, is de gedelegeerde ingebouwde groep Network Configuration Operators. Die dekt netwerkinstellingen en routewijzigingen en sluit software-installatie en algemeen beheerwerk uit.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Het toevoegen van het account is niet stil: het standaardbeleid vraagt nog steeds één keer per sessie, dus de toekenning beperkt wat verhoging kan doen in plaats van die weg te nemen. Documenteer het lidmaatschap, want het hoopt zich stil op en wordt bijna nooit herzien. Op de service-route kan een descriptor-wijziging met sc sdset start en stop aan een groep delegeren, hoewel een typefout in het descriptor elke account de startrechten kan weigeren, en dat terugdraaien vereist een beheerder. Test elke descriptor-wijziging op een laboratoriummachine voordat die een productiehost bereikt.

Controleer vanaf het gebruikersaccount

Configuratie in een beheerderssessie bewijst niets over het account dat die gaat gebruiken. Meld u aan als die gebruiker, maak verbinding en vergelijk de machinestatus voor en na.

route print -4
Get-DnsClientServerAddress

De routingtabel hoort de tunnelroutes te krijgen, en de resolver hoort tijdens de verbinding naar de servers te wijzen die de VPN levert. Na het verbreken horen beide uitvoer overeen te komen met de kopieën die u vooraf hebt gemaakt, en daarom is het belangrijk ze eerst te maken. Stuurprogramma-updates kunnen de beheerdersvereiste opnieuw invoeren, dus noteer de clientversie naast het resultaat. Houd profiel- en sleutelbestanden alleen leesbaar voor het account dat ze gebruikt, in plaats van de rechten te versoepelen voor een gedeelde installatie.

Schrijf op wie de tunnel kan starten, welke groep dat toestaat en wat nog een beheerder vereist. Die notitie maakt de volgende clientupdate gepland werk in plaats van een middag gissen.