Kullanıcıları yönetici yapmadan Windows'ta OpenVPN çalıştırma

Bir kullanıcı OpenVPN GUI'ye çift tıklar, bir UAC istemini onaylar ve bir sonraki yeniden bağlanmada aynı ritüeli tekrarlar. İstem bir paketleme hatası değildir: istemci sanal bir bağdaştırıcı oluşturur ve yönlendirme tablosunu düzenler, ikisi de ayrıcalıklı değişikliklerdir. Yararlı soru, kullanıcının bu haklardan hangilerine gerçekten ihtiyacı olduğudur. Bir hizmet ve dar bir yetkilendirme, yönetici üyeliği dağıtmadan bağlantıyı kapsar.

Hangi işlemler gerçekten yetki yükseltmesi gerektirir

Tünel sanal bir ağ arabiriminde son bulur ve bu arabirimi kurmak bir kez yönetici hakları gerektiren bir sürücü işlemidir. Bağdaştırıcı var olduktan sonra bile her bağlantı yolları yazar ve profile bağlı olarak DNS yapılandırmasını değiştirir. Sıradan bir hesapta yetki yükseltmesini tetikleyen bu iki adımdır. Kimlik doğrulamada veya şifrelemede hiçbir şey yönetici hakları gerektirmez ve ayrıcalığın ayrılabilmesinin nedeni tam olarak budur.

Bir yetki verme seçmeden önce kurulum zamanını bağlanma zamanından ayırın. Farklı sahipleri ve farklı ömürleri var.

Hizmeti ayrıcalıklı bileşen olarak kullanın

Desteklenen düzen gerekli haklara sahip bir Windows hizmeti çalıştırır, bir GUI de hizmetten bağlanmasını ister. Böylece ayrıcalıklı kod hiçbir zaman kullanıcının oturumu içinde çalışmaz.

sc query OpenVPNService
sc qc OpenVPNService

İkili yolu kurulu istemciye işaret eden çalışan bir hizmet, herhangi bir şeyi yetkilendirmeden önce doğrulanması gereken ilk olgudur. Hizmet bağdaştırıcıya ve yollara sahiptir, bu yüzden kullanıcı yalnızca bir bağlantıyı başlatır ve durdurur. Paylaşılan makinelerde kullanılması gereken biçim budur, çünkü bağlan düğmesine tıklayan hesabın kalıcı bir ayrıcalığı yoktur. Tanımlayıcıyı sc sdshow ile okuyun, düzenlemeden önce, ve çıktının bilinen iyi bir kopyasını saklayın.

Yol değişikliklerini yerleşik bir gruba devredin

Etkileşimli olarak çalışması gereken bir istemci için devredilen yerleşik grup Network Configuration Operators'dır. Ağ ayarlarını ve yol değişikliklerini kapsar, yazılım kurulumunu ve genel yönetim işlerini dışlar.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Hesabı eklemek sessiz değildir: varsayılan ilke oturum başına hâlâ bir istem açar, bu yüzden verilen yetki yükseltmenin neler yapabileceğini azaltır, onu ortadan kaldırmaz. Üyeliği belgeleyin, çünkü sessizce birikir ve neredeyse hiç gözden geçirilmez. Hizmet yolunda, tanımlayıcının sc sdset ile düzenlenmesi başlatma ve durdurmayı bir gruba devredebilir, ancak tanımlayıcıdaki bir yazım hatası her hesabın başlatma haklarını reddedebilir ve bunu geri almak bir yönetici gerektirir. Herhangi bir tanımlayıcı değişikliğini üretim ana bilgisayarına ulaşmadan önce laboratuvar makinesinde test edin.

Kullanıcı hesabından doğrulayın

Yönetici oturumunda yapılan yapılandırma, onu kullanacak hesap hakkında hiçbir şey kanıtlamaz. O kullanıcı olarak oturum açın, bağlanın ve makinenin durumunu önce ve sonra karşılaştırın.

route print -4
Get-DnsClientServerAddress

Yönlendirme tablosu tünelin yollarını kazanmalı ve çözümleyici bağlıyken VPN'in sağladığı sunucuları göstermelidir. Bağlantı kesildikten sonra iki çıktı da önceden aldığınız kopyalarla eşleşmelidir, bu yüzden onları önce almak önemlidir. Sürücü güncellemeleri yönetici gereksinimini yeniden getirebilir, bu yüzden istemci sürümünü sonucun yanına not edin. Profil ve anahtar dosyalarını paylaşılan bir kurulum için izinleri gevşetmek yerine yalnızca onları kullanan hesap için okunabilir tutun.

Tüneli kimin başlatabileceğini, hangi grubun bunu verdiğini ve neyin hâlâ bir yönetici gerektirdiğini yazın. Bu not, bir sonraki istemci güncellemesini tahminlerle dolu bir öğleden sonra yerine planlı bir işe dönüştürür.