Wireguard ohne Administratoren-Rechte öffnen

Makrien

Liebe Community

Ich habe in meiner IB4 den VPN aktiviert und eine neue VPN-Verbindung mit Wireguard hinzugefügt. Auf dem Windows-Client mit Administratoren-Rechten funktioniert es. Wenn ich jedoch mich mit eingeschränkten Rechten (ohne Admin-Rechten) an Windows anmelde, kann ich den Wireguard Client nicht starten. Meldung: Der Benutzer muss der Gruppe Administratoren hinzugefügt werden.

Gibt es eine Möglichkeit Wireguard Programm als normale Benutzer ohne Administratore-Rechte in Windows zu öffnen? Dies stellt für mich ein Sicherheitsrisiko dar.

Werner

Makrien

Du kannst es mit einem zusätzlichen Key in der Windows-Registry lösen.

Siehe Lösung 2 im beiliegenden Artikel:
https://rz.rptu.de/dienstleistungen/netz-telefonie/netzanschluss/vpn-zugang/hinweise-fuer-administratoren

Makrien

Werner

Danke, ich habe es gemäss Lösung 2 so gemacht.

Einen neuen Schlüssel "WireGuard" in "HKEY_LOCAL_MACHINE\Software" und einen DWORD mit Namen "LimitedOperatorUI" erstellt und auf 1 gesetzt.

In Computerverwaltung bei Lokale Benutzer und Gruppen beim Benutzer die Gruppe "Netzwerkkonfigurations-Operatoren" hinzugefügt.

Wenn ich nun mich mit dem Benutzer an Windows anmelde, startet automatisch Wireguard im Tasktray unten rechts und kann es aktivieren.

Die Konfigurationsdatei gilt demnach für alle lokalen Benutzer, die angemeldet sind. Mit der Konfigurationsdatei ist es einfacher die VPN-Verbindung in der App Wireguard hinzuzufügen, im Gegensatz zu Benutzer und Passwort definieren und eingeben für IKEv2- oder L2TP-Konfiguration. Jedoch finde ich es eher riskanter mit der Konfigurationsdatei, denn was passiert wenn die Datei in falsche Hände gerät? Es kann eine VPN-Verbindung zu meiner IB hergestellt werden.

user109

Makrien Jedoch finde ich es eher riskanter mit der Konfigurationsdatei, denn was passiert wenn die Datei in falsche Hände gerät? Es kann eine VPN-Verbindung zu meiner IB hergestellt werden.

Makrien deshalb die Datei im Passwortmanager, Verschlüsselten Ordner oder verschlüsselt auf einen USB-Stick sichern.

Werner

Makrien

WireGuard kennt auf Grund seiner einfachen schlanken Architektur keine separate zusätzliche Benutzer-/Passwort-Verwaltung, sondern der QR-Code oder das Konfigurationsfile ist gleichzeitig auch direkt der volle Zugangsschlüssel.
Deshalb empfiehlt es sich auch für jeden einzelnen WG-Benutzer und für jedes WG-Clientgerät auf der Server-Seite einen eigenen WG-User zu erstellen.

Kommt dann mal ein Client-Gerät abhanden oder ein Konfigurationsfile wird kompromittiert, löscht man dann ganz einfach den entsprechenden WG-User auf dem WG-Server.

PS: Für wirklich grosse Populationen von VPN-Usern > 10 würde ich dann aber für einen VPN-Server im Heimnetz sowieso eher nicht mehr auf WireGuard, sondern auf das klassische Konstrukt Open VPN Server setzen, welches zusätzlich zur reinen Verbindungstechnik auch noch eine zusätzliche User-/Passwort-/Zertifikat-Verwaltung enthält.