Spúšťajte OpenVPN v systéme Windows bez toho, aby sa používatelia stali správcami

Používateľ dvakrát klikne na OpenVPN GUI, schváli výzvu UAC a pri ďalšom pripojení zopakuje ten istý rituál. Výzva nie je chyba balenia: klient vytvára virtuálny adaptér a upravuje smerovaciu tabuľku a obidve sú privilegované zmeny. Užitočná otázka je, ktoré z týchto práv používateľ skutočne potrebuje. Služba a úzke delegovanie pokryjú pripojenie bez rozdávania členstva správcu.

Ktoré operácie skutočne vyžadujú zvýšenie oprávnení

Tunel končí na virtuálnom sieťovom rozhraní a inštalácia tohto rozhrania je operácia ovládača, ktorá raz vyžaduje práva správcu. Po vytvorení adaptéra každé pripojenie stále zapisuje trasy a v závislosti od profilu mení konfiguráciu DNS. Práve tieto dva kroky spúšťajú zvýšenie oprávnení na bežnom účte. Nič v overovaní ani šifrovaní nevyžaduje práva správcu, a preto možno oprávnenie oddeliť.

Oddeľte čas inštalácie od času pripojenia, než zvolíte udelenie. Majú rôznych vlastníkov a rôznu životnosť.

Použite službu ako privilegovanú komponentu

Podporované usporiadanie spúšťa službu Windows, ktorá má potrebné práva, a GUI žiada službu o pripojenie. Privilegovaný kód tak nikdy nebeží v relácii používateľa.

sc query OpenVPNService
sc qc OpenVPNService

Bežiaca služba, ktorej binárna cesta ukazuje na nainštalovaného klienta, je prvý fakt, ktorý treba potvrdiť pred delegovaním čohokoľvek. Služba vlastní adaptér aj trasy, takže používateľ iba spúšťa a zastavuje pripojenie. Toto je podoba pre zdieľané počítače, pretože účet, ktorý klikne na pripojiť, nemá žiadne trvalé oprávnenie. Prečítajte deskriptor pomocou sc sdshow pred úpravou a uložte známu dobrú kópiu výstupu.

Delegujte zmeny trás vstavanej skupine

Pre klienta, ktorý musí bežať interaktívne, je delegovaná vstavaná skupina Network Configuration Operators. Pokrýva sieťové nastavenia a zmeny trás, pričom vylučuje inštaláciu softvéru a všeobecnú administratívnu prácu.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Pridanie účtu nie je tiché: predvolená politika stále vyvolá jednu výzvu na reláciu, takže udelenie znižuje, čo môže zvýšenie oprávnení urobiť, namiesto toho, aby ho odstránilo. Zdokumentujte členstvo, pretože sa ticho hromadí a takmer nikdy sa nepreskúmava. Na ceste cez službu môže úprava deskriptora pomocou sc sdset delegovať spustenie a zastavenie skupine, hoci preklep v deskriptore môže odobrať práva spustenia každému účtu a vrátiť to vyžaduje správcu. Otestujte každú zmenu deskriptora na laboratórnom počítači, kým sa dostane na produkčný hostiteľ.

Overte z používateľského účtu

Konfigurácia vykonaná v relácii správcu nič nedokazuje o účte, ktorý ju bude používať. Prihláste sa ako tento používateľ, pripojte sa a porovnajte stav počítača pred a po.

route print -4
Get-DnsClientServerAddress

Smerovacia tabuľka by mala získať trasy tunela a prekladač by mal počas pripojenia ukazovať na servery, ktoré poskytuje VPN. Po odpojení by oba výstupy mali zodpovedať kópiám vytvoreným vopred, a preto je dôležité vytvoriť ich najskôr. Aktualizácie ovládačov môžu požiadavku na správcu vrátiť, preto zapíšte verziu klienta vedľa výsledku. Súbory profilu a kľúčov držte čitateľné len pre účet, ktorý ich používa, namiesto uvoľňovania oprávnení pre zdieľanú inštaláciu.

Zapíšte, kto môže tunel spustiť, ktorá skupina to udeľuje a čo ešte vyžaduje správcu. Tá poznámka premení najbližšiu aktualizáciu klienta na plánovanú prácu namiesto popoludnia hádania.