صارفین کو ایڈمن بنائے بغیر Windows پر OpenVPN چلائیں

ایک صارف OpenVPN GUI پر دو بار کلک کرتا ہے، UAC پرامپٹ منظور کرتا ہے اور اگلی دوبارہ کنیکشن پر وہی رسم دہراتا ہے۔ یہ پرامپٹ پیکجنگ کی غلطی نہیں: کلائنٹ ایک ورچوئل اڈاپٹر بناتا ہے اور روٹنگ ٹیبل میں ترمیم کرتا ہے، اور دونوں مراعات یافتہ تبدیلیاں ہیں۔ مفید سوال یہ ہے کہ صارف کو ان حقوق میں سے کون سے واقعی درکار ہیں۔ ایک سروس اور محدود تفویض ایڈمنسٹریٹر رکنیت تقسیم کیے بغیر کنیکشن کو پورا کرتی ہے۔

کون سی کارروائیوں کو واقعی استحقاق بلندی درکار ہے

ٹنل ایک ورچوئل نیٹ ورک انٹرفیس پر ختم ہوتا ہے، اور اس انٹرفیس کو انسٹال کرنا ایک ڈرائیور کارروائی ہے جسے ایک بار ایڈمنسٹریٹر حقوق درکار ہوتے ہیں۔ اڈاپٹر موجود ہونے کے بعد بھی ہر کنیکشن روٹس لکھتا ہے اور پروفائل کے مطابق DNS ترتیب بدلتا ہے۔ عام اکاؤنٹ پر استحقاق بلندی یہی دو مراحل پیدا کرتے ہیں۔ تصدیق یا انکرپشن میں کسی چیز کو ایڈمنسٹریٹر حقوق درکار نہیں، اور اسی لیے یہ استحقاق الگ کیا جا سکتا ہے۔

اجازت منتخب کرنے سے پہلے انسٹالیشن کے وقت کو کنیکشن کے وقت سے الگ کریں۔ ان کے مالک اور عمر مختلف ہیں۔

سروس کو مراعات یافتہ جزو کے طور پر استعمال کریں

معاون ترتیب مطلوبہ حقوق رکھنے والی Windows سروس چلاتی ہے، اور GUI سروس سے جڑنے کو کہتا ہے۔ تب مراعات یافتہ کوڈ کبھی صارف کے سیشن کے اندر نہیں چلتا۔

sc query OpenVPNService
sc qc OpenVPNService

چلتی ہوئی وہ سروس جس کا بائنری راستہ نصب شدہ کلائنٹ کی طرف اشارہ کرتا ہے، کچھ بھی تفویض کرنے سے پہلے تصدیق کرنے والی پہلی حقیقت ہے۔ اڈاپٹر اور روٹس سروس کی ملکیت ہیں، اس لیے صارف صرف کنیکشن شروع اور بند کرتا ہے۔ مشترکہ مشینوں پر یہی شکل استعمال کرنی چاہیے، کیونکہ جوڑنے پر کلک کرنے والے اکاؤنٹ کے پاس کوئی مستقل استحقاق نہیں ہوتا۔ تفصیل کنندہ sc sdshow سے پڑھیں، ترمیم سے پہلے، اور آؤٹ پٹ کی معلوم اچھی کاپی رکھیں۔

بلٹ اِن گروپ کے ساتھ روٹ تبدیلیوں کی تفویض کریں

ایسے کلائنٹ کے لیے جسے انٹرایکٹو طور پر چلنا ہے، تفویض شدہ بلٹ اِن گروپ Network Configuration Operators ہے۔ یہ نیٹ ورک ترتیبات اور روٹ تبدیلیوں کا احاطہ کرتا ہے جبکہ سافٹ ویئر انسٹالیشن اور عمومی انتظامی کام کو خارج کرتا ہے۔

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

اکاؤنٹ شامل کرنا خاموش نہیں: طے شدہ پالیسی اب بھی فی سیشن ایک پرامپٹ اٹھاتی ہے، اس لیے اجازت استحقاق بلندی کے ممکنہ کام کو کم کرتی ہے، اسے ختم نہیں کرتی۔ رکنیت کی دستاویز کریں، کیونکہ یہ خاموشی سے جمع ہوتی ہے اور تقریباً کبھی جائزہ نہیں لی جاتی۔ سروس کے راستے پر، sc sdset کے ذریعے تفصیل کنندہ کی ترمیم کسی گروپ کو آغاز اور توقف تفویض کر سکتی ہے، تاہم تفصیل کنندہ میں ٹائپو ہر اکاؤنٹ کے آغاز کے حقوق سے انکار کر سکتا ہے، اور اسے واپس کرنے کے لیے ایڈمنسٹریٹر درکار ہے۔ کسی بھی تفصیل کنندہ تبدیلی کو پروڈکشن ہوسٹ تک پہنچنے سے پہلے لیب مشین پر آزمائیں۔

صارف کے اکاؤنٹ سے تصدیق کریں

ایڈمنسٹریٹر سیشن میں کی گئی ترتیب اس اکاؤنٹ کے بارے میں کچھ ثابت نہیں کرتی جو اسے استعمال کرے گا۔ اسی صارف کے طور پر سائن اِن کریں، جڑیں اور پہلے اور بعد میں مشین کی حالت کا موازنہ کریں۔

route print -4
Get-DnsClientServerAddress

روٹنگ ٹیبل میں ٹنل کے روٹس شامل ہونے چاہئیں، اور جڑے رہنے کے دوران حل کنندہ کو اُن سرورز کی طرف اشارہ کرنا چاہیے جو VPN فراہم کرتا ہے۔ منقطع ہونے کے بعد دونوں آؤٹ پٹ اُن کاپیوں سے میل کھانے چاہئیں جو آپ نے پہلے لی تھیں، اور اسی لیے انہیں پہلے لینا اہم ہے۔ ڈرائیور اپ ڈیٹس ایڈمنسٹریٹر کی شرط دوبارہ لا سکتے ہیں، اس لیے نتیجے کے ساتھ کلائنٹ ورژن نوٹ کریں۔ مشترکہ انسٹال کے لیے اجازتیں ڈھیلی کرنے کے بجائے پروفائل اور کلید فائلیں صرف اُس اکاؤنٹ کے لیے پڑھنے کے قابل رکھیں جو اُنہیں استعمال کرتا ہے۔

لکھیں کہ ٹنل کون شروع کر سکتا ہے، کون سا گروپ اسے دیتا ہے اور کس چیز کو اب بھی ایڈمنسٹریٹر درکار ہے۔ یہ نوٹ اگلی کلائنٹ اپ ڈیٹ کو اندازے کی ایک دوپہر کے بجائے منصوبہ بند کام بنا دیتا ہے۔