Можно ли установить виртуальный сетевой драйвер TAP-Windows OpenVPN полностью без присмотра?

Question

TAP-Windows - это сетевой драйвер, используемый OpenVPN для установки удаленных соединений.

Он включен в основной установщик графического интерфейса, но предлагает пользователю принять неподписанный драйвер.

Установщик OpenVPN Windows может быть установлен автоматически, например, через SSH или удаленную консоль Telnet. Что-то вроде:

openvpn-install-2.3.7-I003-i686.exe /S /D=c:\OpenVPN

... и установка идет нормально, за исключением драйвера TAP-Windows, который вообще не устанавливается.

Автономный установщик драйвера TAP-Windows имеет слишком тихую опцию установки:

tap-windows-9.9.2_3.exe /S /D = c:\TapWindows

но он продолжает предлагать пользователю принять установку драйвера:

Я не смог найти на форумах OpenVPN какие-либо решенные темы о способе его установки.
Наиболее близким я нашел этот набор скриптов (.bat и .nis файлы) на GitHub, которые должны творить чудеса, но у меня недостаточно знаний, чтобы их использовать.

Кто-нибудь знает подробную процедуру выполнения автоматической установки драйвера TAP-Windows?

Мне нужно решить эту проблему для Windows XP и Windows 7 (я знаю, что установщик NDIS отличается, так что, возможно, методы тоже).
Если возможно, решение, работающее на любой Windows (Серверы, 8 и даже 10) будет в порядке.

ПРИМЕЧАНИЕ. Этот аналогичный поток предлагает решение, основанное на подписи драйверов, но оно является неполным.

Answer 1

Это громоздко, но это может быть сделано. Проблема заключается в доверии к сертификату издателя OpenVpn Technologies.

В блоге подробно объясняется, что, установив флажок в диалоговом окне безопасности, включенном в ваш вопрос, вы импортируете сертификат издателя в локальное хранилище доверенных сертификатов (Get-ChildItem Cert:\CurrentUser\TrustedPublisher - в powershell). Если это произойдет, автоматическая установка будет работать, потому что ваш компьютер доверяет издателю. Проблема с сообщением в блоге заключается в том, что он поощряет вас загружать авторскую копию сертификата из хранилища файлов в сети, контролируемой автором. Что полностью противоречит цели сертификата. Немного лучший подход - получить копию сертификата для себя. Если вы загрузите установщик openvpn, а затем подтвердите его контрольную сумму, чтобы определить, что у вас есть неизмененный установщик, сертифицированный OpenVPN, затем вручную установить его и утвердить диалоговое окно доверия, вы можете затем получить сертификат из локального хранилища сертификатов, экспортировать OpenVPN сертификат, а затем включите доверенную копию сертификата в механизм установки.

Чтобы экспортировать сертификат (как только вы его получите):

• получить серийный номер (должен иметь строку, аналогичную Subject: CN=OpenVPN Technologies ...):

  certutil -store TrustedPublisher

• экспортировать сертификат:

  certutil -exportPFX TrustedPublisher <serial_number> openvpn.pfx

В тех случаях, когда вы хотите установить OpenVPN в режиме без вывода сообщений, вам просто нужно сначала импортировать и доверять сертификату с помощью такой команды:

certutil -importPFX openvpn.pfx