เรียกใช้ OpenVPN บน Windows โดยไม่ทำให้ผู้ใช้เป็นผู้ดูแลระบบ

ผู้ใช้ดับเบิลคลิก GUI ของ OpenVPN อนุมัติพรอมต์ UAC แล้วทำพิธีเดิมซ้ำในการเชื่อมต่อครั้งถัดไป พรอมต์นี้ไม่ใช่ความผิดพลาดของการแพ็กเกจ ไคลเอนต์สร้างอะแดปเตอร์เสมือนและแก้ไขตารางเส้นทาง ทั้งสองอย่างเป็นการเปลี่ยนแปลงที่ต้องใช้สิทธิ์ คำถามที่มีประโยชน์คือผู้ใช้ต้องการสิทธิ์ใดจริง ๆ บริการหนึ่งตัวพร้อมการมอบหมายที่แคบครอบคลุมการเชื่อมต่อโดยไม่ต้องแจกสมาชิกผู้ดูแลระบบ

การดำเนินการใดต้องยกระดับสิทธิ์จริง

อุโมงค์สิ้นสุดที่อินเทอร์เฟซเครือข่ายเสมือน และการติดตั้งอินเทอร์เฟซนั้นเป็นการดำเนินการของไดรเวอร์ที่ต้องใช้สิทธิ์ผู้ดูแลระบบหนึ่งครั้ง เมื่ออะแดปเตอร์มีอยู่แล้ว การเชื่อมต่อแต่ละครั้งยังคงเขียนเส้นทาง และเปลี่ยนการกำหนดค่า DNS ตามโปรไฟล์ สองขั้นตอนนี้คือสิ่งที่กระตุ้นการยกระดับสิทธิ์ในบัญชีธรรมดา ไม่มีสิ่งใดในการพิสูจน์ตัวตนหรือการเข้ารหัสที่ต้องใช้สิทธิ์ผู้ดูแลระบบ และนั่นคือเหตุผลที่แยกสิทธิ์ออกได้

แยกเวลาติดตั้งออกจากเวลาเชื่อมต่อก่อนเลือกการอนุญาต ทั้งสองมีเจ้าของและอายุต่างกัน

ใช้บริการเป็นองค์ประกอบที่ได้รับสิทธิ์

การจัดวางที่รองรับ เรียกใช้บริการ Windows ที่ถือสิทธิ์ที่จำเป็น และ GUI ขอให้บริการเชื่อมต่อ ดังนั้นโค้ดที่ได้รับสิทธิ์จะไม่ทำงานภายในเซสชันของผู้ใช้เลย

sc query OpenVPNService
sc qc OpenVPNService

บริการที่ทำงานอยู่และพาธไบนารีชี้ไปยังไคลเอนต์ที่ติดตั้งไว้คือข้อเท็จจริงแรกที่ต้องยืนยันก่อนมอบหมายสิ่งใด บริการเป็นเจ้าของอะแดปเตอร์และเส้นทาง ผู้ใช้จึงเพียงเริ่มและหยุดการเชื่อมต่อ นี่คือรูปแบบที่ควรใช้บนเครื่องที่ใช้ร่วมกัน เพราะบัญชีที่คลิกเชื่อมต่อไม่มีสิทธิ์ถาวร อ่านตัวอธิบายด้วย sc sdshow ก่อนแก้ไข และเก็บสำเนาเอาต์พุตที่ดีที่รู้จักไว้

มอบหมายการเปลี่ยนแปลงเส้นทางให้กลุ่มที่มีมาให้

สำหรับไคลเอนต์ที่ต้องทำงานแบบโต้ตอบ กลุ่มที่มีมาให้ซึ่งได้รับมอบหมายคือ Network Configuration Operators ครอบคลุมการตั้งค่าเครือข่ายและการเปลี่ยนแปลงเส้นทาง แต่ไม่รวมการติดตั้งซอฟต์แวร์และงานบริหารทั่วไป

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

การเพิ่มบัญชีไม่ใช่เรื่องเงียบ: นโยบายเริ่มต้นยังคงขึ้นพรอมต์หนึ่งครั้งต่อเซสชัน การอนุญาตจึงลดสิ่งที่การยกระดับสิทธิ์ทำได้ แทนที่จะลบออก บันทึกสมาชิกภาพไว้ เพราะมันสะสมอย่างเงียบ ๆ และแทบไม่เคยถูกทบทวน ในเส้นทางบริการ sc sdset การแก้ไขตัวอธิบายสามารถมอบหมายการเริ่มและหยุดให้กลุ่มได้ แม้ว่าพิมพ์ผิดในตัวอธิบายอาจปฏิเสธสิทธิ์เริ่มของทุกบัญชี และการย้อนกลับต้องใช้ผู้ดูแลระบบ ทดสอบการเปลี่ยนแปลงตัวอธิบายใด ๆ บนเครื่องทดลองก่อนถึงโฮสต์จริง

ตรวจสอบจากบัญชีผู้ใช้

การกำหนดค่าที่ทำในเซสชันผู้ดูแลระบบไม่ได้พิสูจน์สิ่งใดเกี่ยวกับบัญชีที่จะใช้งาน ลงชื่อเข้าใช้ในฐานะผู้ใช้คนนั้น เชื่อมต่อ และเปรียบเทียบสถานะเครื่องก่อนและหลัง

route print -4
Get-DnsClientServerAddress

ตารางเส้นทางควรได้รับเส้นทางของอุโมงค์ และตัวแก้ชื่อควรชี้ไปยังเซิร์ฟเวอร์ที่ VPN ให้ไว้ขณะเชื่อมต่อ หลังตัดการเชื่อมต่อ เอาต์พุตทั้งสองควรตรงกับสำเนาที่จับไว้ล่วงหน้า จึงสำคัญที่ต้องจับไว้ก่อน การอัปเดตไดรเวอร์อาจทำให้ข้อกำหนดผู้ดูแลระบบกลับมา ดังนั้นบันทึกเวอร์ชันไคลเอนต์ไว้ข้างผลลัพธ์ เก็บไฟล์โปรไฟล์และคีย์ให้เฉพาะบัญชีที่ใช้งานอ่านได้ แทนที่จะผ่อนสิทธิ์สำหรับการติดตั้งร่วมกัน

จดว่าใครเริ่มอุโมงค์ได้ กลุ่มใดให้สิทธิ์ และอะไรยังต้องใช้ผู้ดูแลระบบ บันทึกนั้นเปลี่ยนการอัปเดตไคลเอนต์ครั้งถัดไปให้เป็นงานที่วางแผนไว้ ไม่ใช่บ่ายแห่งการเดา