Rulați OpenVPN pe Windows fără a face utilizatorii administratori

Un utilizator face dublu clic pe GUI-ul OpenVPN, aprobă o solicitare UAC și repetă același ritual la următoarea reconectare. Solicitarea nu este o eroare de ambalare: clientul creează un adaptor virtual și editează tabelul de rutare, iar ambele sunt modificări privilegiate. Întrebarea utilă este care dintre aceste drepturi îi trebuie cu adevărat utilizatorului. Un serviciu plus o delegare îngustă acoperă conexiunea fără a distribui calitatea de membru al administratorilor.

Ce operațiuni necesită cu adevărat ridicarea privilegiilor

Tunelul se termină pe o interfață de rețea virtuală, iar instalarea acelei interfețe este o operație de driver care necesită o dată drepturi de administrator. După ce adaptorul există, fiecare conexiune scrie în continuare rute și, în funcție de profil, modifică configurația DNS. Acești doi pași declanșează ridicarea privilegiilor pe un cont obișnuit. Nimic din autentificare sau criptare nu necesită drepturi de administrator, și exact de aceea privilegiul poate fi separat.

Separați momentul instalării de momentul conectării înainte de a alege o acordare. Au proprietari și durate de viață diferite.

Folosiți serviciul ca componentă privilegiată

Aranjamentul acceptat rulează un serviciu Windows care deține drepturile necesare, iar un GUI cere serviciului să se conecteze. Astfel codul privilegiat nu rulează niciodată în sesiunea utilizatorului.

sc query OpenVPNService
sc qc OpenVPNService

Un serviciu care rulează și al cărui cale binară indică clientul instalat este primul fapt de confirmat înainte de a delega ceva. Serviciul deține adaptorul și rutele, așa că utilizatorul doar pornește și oprește o conexiune. Aceasta este forma de folosit pe mașini partajate, deoarece contul care face clic pe conectare nu deține niciun privilegiu permanent. Citiți descriptorul cu sc sdshow înainte de a-l edita, și păstrați o copie bună cunoscută a ieșirii.

Delegați modificările de rută unui grup încorporat

Pentru un client care trebuie să ruleze interactiv, grupul încorporat delegat este Network Configuration Operators. Acoperă setările de rețea și modificările de rută, excluzând instalarea de software și munca administrativă generală.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Adăugarea contului nu este silențioasă: politica implicită ridică în continuare o solicitare pe sesiune, așa că acordarea reduce ce poate face ridicarea privilegiilor în loc să o elimine. Documentați calitatea de membru, pentru că se acumulează în tăcere și aproape niciodată nu este revizuită. Pe calea serviciului, o editare a descriptorului cu sc sdset poate delega pornirea și oprirea unui grup, deși o greșeală de tipar în descriptor poate refuza drepturile de pornire oricărui cont, iar anularea necesită un administrator. Testați orice modificare a descriptorului pe o mașină de laborator înainte de a ajunge pe un host de producție.

Verificați din contul de utilizator

Configurația făcută într-o sesiune de administrator nu dovedește nimic despre contul care o va folosi. Conectați-vă ca acel utilizator, conectați-vă la rețea și comparați starea mașinii înainte și după.

route print -4
Get-DnsClientServerAddress

Tabelul de rutare ar trebui să primească rutele tunelului, iar resolverul ar trebui să indice serverele pe care VPN-ul le oferă în timpul conectării. După deconectare, ambele ieșiri ar trebui să corespundă copiilor capturate înainte, și de aceea este important să le capturați mai întâi. Actualizările de driver pot reintroduce cerința de administrator, așa că notați versiunea clientului lângă rezultat. Păstrați fișierele de profil și cheile lizibile doar pentru contul care le folosește, în loc să relaxați permisiunile pentru o instalare partajată.

Notați cine poate porni tunelul, ce grup îl acordă și ce mai necesită un administrator. Acea notă transformă următoarea actualizare a clientului în muncă planificată în loc de o după-amiază de presupuneri.