Foydalanuvchilarni administrator qilmasdan Windows'da OpenVPN ishga tushirish

Foydalanuvchi OpenVPN GUI ustiga ikki marta bosadi, UAC so'rovini tasdiqlaydi va keyingi qayta ulanishda xuddi shu marosimni takrorlaydi. So'rov qadoqlash xatosi emas: mijoz virtual adapterni yaratadi va marshrutlash jadvalini tahrirlaydi, ikkalasi ham imtiyoz talab qiladigan o'zgarishlar. Foydali savol — foydalanuvchiga o'sha huquqlardan qaysi biri haqiqatan kerak. Xizmat va tor vakolatlash administrator a'zoligini tarqatmasdan ulanishni qoplaydi.

Qaysi amallar haqiqatan huquqlarni oshirishni talab qiladi

Tunnel virtual tarmoq interfeysida tugaydi va bu interfeysni o'rnatish bir marta administrator huquqlarini talab qiladigan drayver amalidir. Adapter mavjud bo'lgandan keyin ham har bir ulanish marshrutlarni yozadi va profilga qarab DNS konfiguratsiyasini o'zgartiradi. Oddiy hisobda huquqlarni oshirishni aynan shu ikki qadam keltirib chiqaradi. Autentifikatsiya yoki shifrlashda hech narsa administrator huquqlarini talab qilmaydi va shuning uchun imtiyozni ajratish mumkin.

Ruxsatni tanlashdan oldin o'rnatish vaqtini ulanish vaqtidan ajrating. Ularning egalari va umri har xil.

Xizmatdan imtiyozli komponent sifatida foydalaning

Qo'llab-quvvatlanadigan tartib kerakli huquqlarga ega Windows xizmatini ishga tushiradi, GUI esa xizmatdan ulanishni so'raydi. Shunda imtiyozli kod hech qachon foydalanuvchi seansi ichida ishlamaydi.

sc query OpenVPNService
sc qc OpenVPNService

Ikkilik yo'li o'rnatilgan mijozga ishora qiladigan ishlab turgan xizmat — biror narsani vakolatlashdan oldin tasdiqlanishi kerak bo'lgan birinchi fakt. Adapter va marshrutlar xizmatga tegishli, shuning uchun foydalanuvchi faqat ulanishni boshlaydi va to'xtatadi. Bu umumiy mashinalarda qo'llanilishi kerak bo'lgan shakl, chunki ulanish tugmasini bosadigan hisobda doimiy imtiyoz yo'q. Deskriptorni sc sdshow bilan o'qing, tahrirlashdan oldin, va chiqishning ma'lum yaxshi nusxasini saqlang.

Marshrut o'zgarishlarini o'rnatilgan guruhga vakolating

Interaktiv ishlashi kerak bo'lgan mijoz uchun vakolatlangan o'rnatilgan guruh — Network Configuration Operators. U tarmoq sozlamalari va marshrut o'zgarishlarini qamrab oladi, dastur o'rnatish va umumiy ma'muriy ishni istisno qiladi.

net localgroup "Network Configuration Operators" alice /add
sc sdshow OpenVPNService

Hisobni qo'shish jim emas: standart siyosat hali ham har bir seansda bitta so'rov chiqaradi, shuning uchun ruxsat huquqlarni oshirish nima qila olishini kamaytiradi, uni yo'q qilmaydi. A'zolikni hujjatlashtiring, chunki u jim to'planadi va deyarli hech qachon ko'rib chiqilmaydi. Xizmat yo'lida deskriptorni sc sdset bilan tahrirlash boshlash va to'xtatishni guruhga vakolashi mumkin, ammo deskriptordagi xato har bir hisobning boshlash huquqini rad etishi mumkin va uni bekor qilish administratorni talab qiladi. Har qanday deskriptor o'zgarishini ishlab chiqarish xostiga yetishdan oldin laboratoriya mashinasida sinab ko'ring.

Foydalanuvchi hisobidan tekshiring

Administrator seansida qilingan konfiguratsiya undan foydalanadigan hisob haqida hech narsani isbotlamaydi. O'sha foydalanuvchi sifatida kiring, ulaning va mashina holatini oldin va keyin solishtiring.

route print -4
Get-DnsClientServerAddress

Marshrutlash jadvali tunnel marshrutlarini olishi kerak, ulanish paytida esa hal qiluvchi VPN taqdim etadigan serverlarga ishora qilishi kerak. Uzilgandan keyin ikkala chiqish ham oldindan olingan nusxalarga mos kelishi kerak, shuning uchun ularni birinchi olish muhim. Drayver yangilanishlari administrator talabini qaytarishi mumkin, shuning uchun mijoz versiyasini natija yoniga yozib qo'ying. Profil va kalit fayllarini umumiy o'rnatish uchun ruxsatlarni yumshatish o'rniga faqat ulardan foydalanadigan hisob uchun o'qiladigan saqlang.

Tunnelni kim boshlashi mumkinligini, qaysi guruh bunga ruxsat berishini va nimaga hali ham administrator kerakligini yozing. Bu eslatma keyingi mijoz yangilanishini taxminlar bilan o'tadigan tushdan keyin emas, rejalashtirilgan ishga aylantiradi.