Zaženite OpenVPN v sistemu Windows, ne da bi uporabnike naredili za skrbnike

Uporabnik dvakrat klikne na OpenVPN GUI, odobri poziv UAC in ob naslednji ponovni povezavi ponovi isti obred. Poziv ni napaka pri pakiranju: odjemalec ustvari navidezni vmesnik in ureja usmerjevalno tabelo, oboje pa so spremembe s privilegiji. Koristno vprašanje je, katere od teh pravic uporabnik resnično potrebuje. Storitev in ozko pooblastilo pokrijeta povezavo, ne da bi razdeljevala članstvo v skupini skrbnikov.

Katere operacije v resnici zahtevajo povišanje pravic

Predor se konča na navideznem omrežnem vmesniku, namestitev tega vmesnika pa je operacija gonilnika, ki enkrat zahteva skrbniške pravice. Ko vmesnik obstaja, vsaka povezava še vedno zapisuje poti in glede na profil spreminja konfiguracijo DNS. Prav ta dva koraka sprožita povišanje pravic v običajnem računu. Nič pri preverjanju pristnosti ali šifriranju ne zahteva skrbniških pravic, in prav zato je mogoče privilegij ločiti.

Ločite čas namestitve od časa povezave, preden izberete dodelitev. Imata različne lastnike in različno življenjsko dobo.

Uporabite storitev kot privilegirano komponento

Podprta ureditev zažene storitev Windows, ki ima zahtevane pravice, GUI pa prosi storitev, naj se poveže. Tako privilegirana koda nikoli ne teče znotraj uporabnikove seje.

sc query OpenVPNService
sc qc OpenVPNService

Delujoča storitev, katere binarna pot kaže na nameščenega odjemalca, je prvo dejstvo, ki ga je treba potrditi, preden karkoli pooblastite. Storitev ima v lasti vmesnik in poti, zato uporabnik le začne in ustavi povezavo. To je oblika za skupne računalnike, ker račun, ki klikne za povezavo, nima trajnih privilegijev. Preberite deskriptor z sc sdshow preden ga uredite, in shranite znano dobro kopijo izpisa.

Pooblastite spremembe poti vgrajeni skupini

Za odjemalca, ki mora delovati interaktivno, je pooblaščena vgrajena skupina Network Configuration Operators. Pokriva omrežne nastavitve in spremembe poti, hkrati pa izključuje namestitev programske opreme in splošno administrativno delo.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Dodajanje računa ni tiho: privzeta politika še vedno sproži en poziv na sejo, zato dodelitev zmanjša, kaj lahko povišanje pravic naredi, namesto da bi ga odstranila. Dokumentirajte članstvo, ker se tiho kopiči in se skoraj nikoli ne pregleda. Na poti prek storitve lahko urejanje deskriptorja z sc sdset pooblasti zagon in ustavitev skupini, čeprav lahko tipkarska napaka v deskriptorju vsakemu računu odvzame pravice za zagon, za razveljavitev pa je potreben skrbnik. Vsako spremembo deskriptorja preizkusite na laboratorijskem računalniku, preden doseže produkcijskega gostitelja.

Preverite iz uporabniškega računa

Konfiguracija, izvedena v skrbniški seji, ne dokazuje ničesar o računu, ki jo bo uporabljal. Prijavite se kot ta uporabnik, povežite se in primerjajte stanje računalnika pred in po.

route print -4
Get-DnsClientServerAddress

Usmerjevalna tabela bi morala dobiti poti predora, razreševalnik pa bi moral med povezavo kazati na strežnike, ki jih zagotavlja VPN. Po prekinitvi bi morala oba izpisa ustrezati kopijam, posnetim vnaprej, zato je pomembno, da jih posnamete najprej. Posodobitve gonilnikov lahko znova uvedejo skrbniško zahtevo, zato zapišite različico odjemalca poleg rezultata. Datoteke profila in ključev hranite berljive samo za račun, ki jih uporablja, namesto da bi popuščali dovoljenja za skupno namestitev.

Zapišite, kdo lahko zažene predor, katera skupina to omogoča in kaj še zahteva skrbnika. Ta zapisek spremeni naslednjo posodobitev odjemalca v načrtovano delo namesto v popoldne ugibanja.