Ekzekutoni OpenVPN në Windows pa i bërë përdoruesit administratorë

Një përdorues klikon dy herë mbi GUI-n e OpenVPN, miraton një kërkesë UAC dhe përsërit të njëjtin ritual në rilidhjen tjetër. Kërkesa nuk është gabim paketimi: klienti krijon një përshtatës virtual dhe redakton tabelën e rrugëzimit, dhe të dyja janë ndryshime të privilegjuara. Pyetja e dobishme është se cilat nga këto të drejta përdoruesi ka vërtet nevojë. Një shërbim plus një delegim i ngushtë mbulojnë lidhjen pa shpërndarë anëtarësimin e administratorit.

Cilat operacione kërkojnë vërtet ngritje të të drejtave

Tuneli përfundon në një ndërfaqe rrjete virtuale, dhe instalimi i asaj ndërfaqeje është një operacion drejtuesi që kërkon një herë të drejta administratori. Pasi përshtatësi ekziston, çdo lidhje ende shkruan rrugë dhe, në varësi të profilit, ndryshon konfigurimin e DNS. Janë pikërisht këto dy hapa që shkaktojnë ngritjen e të drejtave në një llogari të zakonshme. Asgjë në vërtetim ose kriptim nuk kërkon të drejta administratori, dhe pikërisht për këtë privilegji mund të ndahet.

Ndani kohën e instalimit nga koha e lidhjes përpara se të zgjidhni një leje. Kanë pronarë dhe jetëgjatësi të ndryshme.

Përdorni shërbimin si komponentin e privilegjuar

Rregullimi i mbështetur ekzekuton një shërbim Windows që mban të drejtat e nevojshme, ndërsa një GUI i kërkon shërbimit të lidhet. Kështu kodi i privilegjuar nuk ekzekutohet kurrë brenda sesionit të përdoruesit.

sc query OpenVPNService
sc qc OpenVPNService

Një shërbim që po ekzekutohet dhe shtegu binar i të cilit tregon klientin e instaluar është fakti i parë që duhet konfirmuar përpara se të delegohet çdo gjë. Shërbimi zotëron përshtatësin dhe rrugët, kështu që përdoruesi vetëm nis dhe ndalon një lidhje. Kjo është forma që duhet përdorur në makineri të përbashkëta, sepse llogaria që klikon për t’u lidhur nuk mban asnjë privilegj të përhershëm. Lexoni përshkruesin me sc sdshow përpara se ta redaktoni, dhe mbani një kopje të njohur të mirë të daljes.

Delegoni ndryshimet e rrugëve te një grup i integruar

Për një klient që duhet të ekzekutohet në mënyrë interaktive, grupi i integruar i deleguar është Network Configuration Operators. Ai mbulon cilësimet e rrjetit dhe ndryshimet e rrugëve, ndërsa përjashton instalimin e softuerit dhe punën administrative të përgjithshme.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Shtimi i llogarisë nuk është i heshtur: politika e parazgjedhur ende ngre një kërkesë për sesion, kështu që leja zvogëlon atë që mund të bëjë ngritja e të drejtave në vend që ta heqë atë. Dokumentoni anëtarësimin, sepse grumbullohet në heshtje dhe pothuajse nuk rishikohet kurrë. Në rrugën e shërbimit, një redaktim i përshkruesit me sc sdset mund t’i delegojë një grupi nisjen dhe ndalimin, megjithëse një gabim shtypi në përshkrues mund t’i mohojë çdo llogarie të drejtat e nisjes, dhe zhbërja e tij kërkon një administrator. Testoni çdo ndryshim të përshkruesit në një makinë laboratori përpara se të arrijë një host prodhimi.

Verifikoni nga llogaria e përdoruesit

Konfigurimi i kryer në një sesion administratori nuk provon asgjë për llogarinë që do ta përdorë. Hyni si ai përdorues, lidhuni dhe krahasoni gjendjen e makinës para dhe pas.

route print -4
Get-DnsClientServerAddress

Tabela e rrugëzimit duhet të fitojë rrugët e tunelit, dhe zgjidhësi duhet të tregojë serverët që ofron VPN-i gjatë lidhjes. Pas shkëputjes të dyja daljet duhet të përputhen me kopjet e kapura më parë, dhe prandaj është e rëndësishme t’i kapni ato së pari. Përditësimet e drejtuesve mund të rikthejnë kërkesën e administratorit, prandaj shënoni versionin e klientit pranë rezultatit. Mbani skedarët e profilit dhe të çelësave të lexueshëm vetëm nga llogaria që i përdor, në vend që të lironi lejet për një instalim të përbashkët.

Shkruani kush mund të nisë tunelin, cili grup e lejon atë dhe çfarë kërkon ende një administrator. Ai shënim e kthen përditësimin e ardhshëm të klientit në punë të planifikuar në vend të një pasdite hamendjesh.