Exécuter OpenVPN sans droits administrateur

Lors de l’installation d’OpenVPN une connexion virtuelle (TAP-Win32 Adapter V8) est créée dans les Connexions Réseau de Windows. Cette connexion virtuelle est une sorte d’intermédiaire entre la machine et la carte réseau physique et pour pouvoir l’utiliser il faut normalement disposer des droits administrateurs. En entreprise il est probable que les utilisateurs n’aient pas ces droits administrateurs et ils ne pourront donc pas se connecter à la liaison VPN.

Connexion OpenVPN

Dans ce billet nous allons voir comment passer outre ce problème de droits en utilisant le service OpenVPN qui est également installé par défaut.

Une fois l’installation par défaut d’OpenVPN effectuée dans une session administrateur, il faut commencer par utiliser l’outil subinacl disponible sur le site de Microsoft. Cet outil va nous permettre de donner à un utilisateur les droits de démarrer et de stopper le service OpenVPN. Plutôt que d’exécuter le .msi sur chaque machine je vous conseille après une première installation de copier le fichier C:\Program Files\Windows Ressource Kits\Tools\subinacl.exe sur une clé USB. Tapez ensuite la commande suivante :

K:\subinacl.exe /SERVICE "OpenVPNService" /GRANT=DOMAINE\UTILISATEUR=TO

en modifiant bien sûr DOMAINE\UTILISATEUR en fonction de vos besoins.

Vous obtenez alors la suite de messages suivants :

OpenVPNService : new ace for DOMAINE\UTILISATEUR
OpenVPNService : 1 change(s)
Elapsed Time: 00 00:00:00
Done:        1, Modified        1, Failed        0, Syntax errors        0
Last Done  : OpenVPNService

Il faut à présent modifier deux clés dans la base de registre pour modifier le comportement d’OpenVPN GUI afin que les actions Connect/Disconnect agissent sur le service OpenVPN au lieu de lancer ou quitter openvpn.exe :

HKEY_LOCAL_MACHINE\SOFTWARE\OpenVPN-GUI\allow_service = 1
HKEY_LOCAL_MACHINE\SOFTWARE\OpenVPN-GUI\service_only = 1

L’utilisateur défini avec l’outil subinacl peut à présent se connecter à la liaison VPN sans disposer des droits administrateur en double-cliquant sur l’icône OpenVPN GUI située dans sa barre de notification.