Покрените OpenVPN на Windows-у без давања администраторских права корисницима

Корисник двапут кликне на OpenVPN GUI, одобри UAC захтев и понови исти ритуал при следећем поновном повезивању. Захтев није грешка у паковању: клијент ствара виртуелни адаптер и мења табелу рутирања, а обоје су привилеговане измене. Корисно питање је која од тих права кориснику заиста треба. Услуга плус уско делегирање покривају везу без дељења чланства администратора.

Које операције заиста захтевају подизање права

Тунел се завршава на виртуелном мрежном интерфејсу, а инсталирање тог интерфејса је операција драјвера која једном захтева администраторска права. Након што адаптер постоји, свака веза и даље уписује руте и, зависно од профила, мења DNS конфигурацију. Управо ова два корака изазивају подизање права на обичном налогу. Ништа у провери идентитета или шифровању не захтева администраторска права, и зато се привилегија може одвојити.

Одвојите време инсталације од времена повезивања пре него што изаберете дозволу. Имају различите власнике и различит животни век.

Користите услугу као привилеговану компоненту

Подржани распоред покреће Windows услугу која има потребна права, а GUI тражи од услуге да се повеже. Тада привилеговани код никада не ради унутар корисничке сесије.

sc query OpenVPNService
sc qc OpenVPNService

Услуга која ради и чија бинарна путања показује на инсталирани клијент прва је чињеница коју треба потврдити пре било каквог делегирања. Услуга поседује адаптер и руте, па корисник само покреће и зауставља везу. Ово је облик за заједничке машине, јер налог који кликне на повезивање нема сталну привилегију. Прочитајте дескриптор помоћу sc sdshow пре него што га уредите, и сачувајте проверено исправну копију излаза.

Делегирајте измене рута уграђеној групи

За клијента који мора да ради интерактивно, делегирана уграђена група је Network Configuration Operators. Покрива мрежна подешавања и измене рута, а искључује инсталацију софтвера и општи административни рад.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Додавање налога није тихо: подразумевана политика и даље подиже један захтев по сесији, па дозвола смањује шта подизање права може да уради, а не уклања га. Документујте чланство, јер се тихо гомила и готово се никада не прегледа. На путу преко услуге, измена дескриптора помоћу sc sdset може делегирати покретање и заустављање групи, иако словна грешка у дескриптору може да ускрати права покретања сваком налогу, а поништавање захтева администратора. Тестирајте сваку измену дескриптора на лабораторијској машини пре него што стигне на продукцијски хост.

Проверите са корисничког налога

Конфигурација урађена у администраторској сесији ништа не доказује о налогу који ће је користити. Пријавите се као тај корисник, повежите се и упоредите стање машине пре и после.

route print -4
Get-DnsClientServerAddress

Табела рутирања треба да добије руте тунела, а резолвер треба да показује на сервере које VPN пружа док је веза активна. Након прекида оба излаза треба да се поклопе са копијама које сте претходно снимили, и зато је важно снимити их прво. Ажурирања драјвера могу да врате захтев за администратором, па забележите верзију клијента поред резултата. Држите датотеке профила и кључева читљивим само за налог који их користи, уместо да олабавите дозволе за заједничку инсталацију.

Запишите ко може да покрене тунел, која група то дозвољава и шта још увек захтева администратора. Та белешка претвара следеће ажурирање клијента у планирани посао, а не у поподне нагађања.