Patakbuhin ang OpenVPN sa Windows nang hindi ginagawang administrator ang mga user

Isang user ang nag-double-click sa GUI ng OpenVPN, inaprubahan ang prompt ng UAC, at inuulit ang gayon ding ritwal sa susunod na pagkonekta. Ang prompt ay hindi pagkakamali sa packaging: gumagawa ang kliyente ng virtual na adapter at nag-e-edit ng routing table, at pareho ay mga pagbabagong may pribilehiyo. Ang kapaki-pakinabang na tanong ay kung alin sa mga karapatang iyon ang talagang kailangan ng user. Sinasaklaw ng isang serbisyo at makitid na delegasyon ang koneksyon nang hindi namamahagi ng pagiging miyembro ng administrator.

Aling mga operasyon ang talagang nangangailangan ng pagtaas ng pribilehiyo

Nagtatapos ang tunnel sa isang virtual na network interface, at ang pag-install ng interface na iyon ay operasyon ng driver na nangangailangan ng mga karapatan ng administrator isang beses. Kapag umiiral na ang adapter, nagsusulat pa rin ng mga ruta ang bawat koneksyon at, depende sa profile, binabago ang configuration ng DNS. Ang dalawang hakbang na ito ang nag-trigger ng pagtaas ng pribilehiyo sa ordinaryong account. Wala sa authentication o encryption ang nangangailangan ng mga karapatan ng administrator, at iyon mismo ang dahilan kung bakit maaaring ihiwalay ang pribilehiyo.

Paghiwalayin ang oras ng pag-install sa oras ng pagkonekta bago pumili ng pagbibigay. Magkaiba ang may-ari at habang-buhay nila.

Gamitin ang serbisyo bilang pribilehiyadong bahagi

Ang sinusuportahang kaayusan nagpapatakbo ng serbisyo ng Windows na may mga kinakailangang karapatan, at hinihiling ng GUI sa serbisyo na kumonekta. Kaya hindi kailanman tumatakbo ang pribilehiyadong code sa loob ng session ng user.

sc query OpenVPNService
sc qc OpenVPNService

Ang tumatakbong serbisyo na ang binary path ay tumuturo sa naka-install na kliyente ang unang katotohanang dapat kumpirmahin bago mag-delegate ng anuman. Pag-aari ng serbisyo ang adapter at mga ruta, kaya nagsisimula at naghihinto lang ang user ng koneksyon. Ito ang anyo na dapat gamitin sa mga shared na makina, dahil ang account na nag-click sa kumonekta ay walang permanenteng pribilehiyo. Basahin ang descriptor gamit ang sc sdshow bago ito i-edit, at mag-imbak ng kilalang magandang kopya ng output.

I-delegate ang mga pagbabago sa ruta sa built-in na grupo

Para sa kliyenteng kailangang tumakbo nang interactive, ang delegated na built-in na grupo ay Network Configuration Operators. Sinasaklaw nito ang mga setting ng network at pagbabago sa ruta habang hindi kasama ang pag-install ng software at pangkalahatang administratibong trabaho.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Ang pagdaragdag ng account ay hindi tahimik: nagtataas pa rin ang default na patakaran ng isang prompt kada session, kaya binabawasan ng pagbibigay ang kayang gawin ng pagtaas ng pribilehiyo sa halip na alisin ito. Idokumento ang pagiging miyembro, dahil tahimik itong naipon at halos hindi nasusuri. Sa ruta ng serbisyo, ang pag-edit ng descriptor gamit ang sc sdset ay maaaring mag-delegate ng simula at paghinto sa isang grupo, kahit na ang typo sa descriptor ay maaaring tumanggi sa mga karapatan sa pagsisimula ng bawat account, at ang pag-undo nito ay nangangailangan ng administrator. Subukan ang anumang pagbabago sa descriptor sa isang makina sa laboratoryo bago ito umabot sa production host.

I-verify mula sa account ng user

Ang configuration na ginawa sa administrator session ay walang pinapatunayan tungkol sa account na gagamit nito. Mag-sign in bilang ganoong user, kumonekta, at ihambing ang estado ng makina bago at pagkatapos.

route print -4
Get-DnsClientServerAddress

Dapat makuha ng routing table ang mga ruta ng tunnel, at dapat tumuro ang resolver sa mga server na ibinibigay ng VPN habang konektado. Pagkatapos ng disconnect, dapat tumugma ang dalawang output sa mga kopyang nakuha mo nang maaga, at iyon ang dahilan kung bakit mahalagang kunin muna ang mga ito. Maaaring muling ipakilala ng mga update ng driver ang pangangailangan ng administrator, kaya itala ang bersyon ng kliyente sa tabi ng resulta. Panatilihing mababasa lamang ng account na gumagamit ang mga file ng profile at key, sa halip na luwagan ang mga pahintulot para sa shared na pag-install.

Isulat kung sino ang maaaring magsimula ng tunnel, aling grupo ang nagbibigay nito, at ano pa ang nangangailangan ng administrator. Ang tala na iyon ay ginagawang planadong trabaho ang susunod na update ng kliyente sa halip na isang hapon ng paghula.