Køyr OpenVPN på Windows utan å gjera brukarar til administratorar

Ein brukar dobbeltklikkar på OpenVPN-GUI-en, godkjenner ei UAC-førespurnad og gientek den same riten ved neste gjenoppkopling. Førespurnaden er ikkje ein pakkefeil: klienten opprettar ein virtuell adapter og redigerer rutetabellen, og begge er privilegerte endringar. Det nyttige spørsmålet er kva av desse rettane brukaren faktisk treng. Ei teneste pluss ei smal delegering dekkjer tilkoplinga utan å dela ut administrator-medlemskap.

Kva operasjonar krev faktisk forhøging

Tunnelen endar på eit virtuelt nettverksgrensesnitt, og installasjon av det grensesnittet er ein drivaroperasjon som krev administratorrettar éin gong. Etter at adapteren finst, skriv kvar tilkopling framleis ruter og endrar, avhengig av profilen, DNS-konfigurasjonen. Det er desse to trinna som utløyser forhøging på ein vanleg konto. Ingenting i autentisering eller kryptering krev administratorrettar, og nettopp difor kan privilegiet skiljast ut.

Skil installasjonstid frå tilkoplingstid før du vel ei tildeling. Dei har ulike eigarar og ulike levetider.

Bruk tenesta som den privilegerte komponenten

Den støtta ordninga køyrer ei Windows-teneste som har dei nødvendige rettane, medan ein GUI ber tenesta om å kopla til. Då køyrer aldri privilegert kode inne i økta til brukaren.

sc query OpenVPNService
sc qc OpenVPNService

Ei køyrande teneste der den binære stien peikar på den installerte klienten, er det første faktumet som må stadfestast før noko blir delegert. Tenesta eig adapteren og rutene, så brukaren startar og stoppar berre ei tilkopling. Dette er forma å bruka på delte maskinar, fordi kontoen som klikkar på kopla til ikkje har nokon varig rett. Les deskriptoren med sc sdshow før du redigerer han, og ta vare på ein kjend god kopi av utdataa.

Deleger ruteendringar til ei innebygd gruppe

For ein klient som må køyra interaktivt, er den delegerte innebygde gruppa Network Configuration Operators. Ho dekkjer nettverksinnstillingar og ruteendringar, men utelèt programvareinstallasjon og generelt administrativt arbeid.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Å leggja til kontoen er ikkje stille: standardpolitikken utløyser framleis éin førespurnad per økt, så tildelinga reduserer kva forhøging kan gjera i staden for å fjerna ho. Dokumenter medlemskapet, fordi det akkumulerer stille og nesten aldri blir gjennomgått. På tenestevegen kan ei deskriptorendring med sc sdset delegera start og stopp til ei gruppe, sjølv om ein skrivefeil i deskriptoren kan nekta startrettar for kvar konto, og det å angra krev ein administrator. Test kvar deskriptorendring på ein laboratoriemaskin før ho når ein produksjonsvert.

Stadfest frå brukarkontoen

Konfigurasjon utført i ei administratorøkt beviser ingenting om kontoen som skal bruka han. Logg på som den brukaren, kopla til og samanlikn maskintilstanden før og etter.

route print -4
Get-DnsClientServerAddress

Rutetabellen bør få tunnelrutene, og resolvaren bør peika på tenarane som VPN-en tilbyr medan du er tilkopla. Etter fråkopling bør begge utdataa stemma med kopiane du tok på førehand, og difor er det viktig å ta dei først. Drivaroppdateringar kan innføra administratorkravet på nytt, så noter klientversjonen ved sida av resultatet. Hald profil- og nøkkelfiler lesbare berre for kontoen som brukar dei, i staden for å lempe på løyva for ein delt installasjon.

Skriv ned kven som kan starta tunnelen, kva gruppe som gir han, og kva som framleis krev ein administrator. Den noten gjer den neste klientoppdateringa til planlagt arbeid i staden for ein ettermiddag med gjetting.