Windows 11中如何将OpenVPN连接隔离到单个用户

我完全理解你的需求——让OpenVPN连接只归发起它的用户所有，其他同时登录Windows的用户没法用这个连接访问Synology NAS的LAN网段，还不想折腾虚拟机对吧？下面给你几个不用VM的可行方案，都是实践中验证过的：

方案一：通过OpenVPN GUI配置用户专属路由与脚本 #

这个方案利用OpenVPN的脚本执行功能，在用户上下文里添加仅当前用户可见的路由，避免全局生效：

• 首先确保你安装的是OpenVPN GUI（不是OpenVPN Connect那种通用客户端），它支持用户级别的配置定制。
• 找到你的OpenVPN配置文件（.ovpn格式），右键用记事本编辑：
  1. 添加一行 route-nopull，阻止OpenVPN自动添加全局路由，这样我们能手动控制路由范围。
  2. 添加脚本权限配置：script-security 2（允许执行外部脚本）。
  3. 新建一个批处理脚本（比如命名为AddUserRoute.bat），内容如下（把192.168.1.0/24换成你Synology NAS的LAN网段）：

     route add 192.168.1.0 mask 255.255.255.0 %VPN_GATEWAY% metric 10
     

  4. 在.ovpn文件末尾添加脚本调用：up "C:\你的脚本路径\AddUserRoute.bat"，这样每次连接VPN时，脚本会在当前用户的环境下添加路由，其他用户看不到这条路由。
• 最后，右键OpenVPN GUI的快捷方式→属性，确保没有勾选“以管理员身份运行”（管理员运行会导致路由全局生效），保持默认的当前用户身份启动。

方案二：修改Windows虚拟适配器的权限 #

通过限制其他用户对OpenVPN虚拟适配器的访问权限，直接阻止他们使用这个连接：

• 先连接上OpenVPN，打开「控制面板→网络和 Internet→网络连接」，找到OpenVPN对应的虚拟适配器（通常命名为“Ethernet X”或“OpenVPN TAP Adapter”）。
• 右键适配器→属性→切换到「安全」选项卡→点击「编辑」：
  1. 删除列表中除了你当前用户账户之外的所有用户/组（比如Administrators、Users组）。
  2. 只保留你的用户账户，并赋予「完全控制」或「读取和修改」的权限。
• 注意：每次重启VPN连接后，虚拟适配器可能会重新创建，这时候需要重新设置权限；如果嫌麻烦，可以写个PowerShell脚本自动执行权限修改，连接VPN后运行即可。

方案三：使用SoftEther VPN的用户专属连接设置 #

如果你换用SoftEther客户端，它本身就内置了用户隔离的功能，操作更简单：

• 安装SoftEther VPN Client后，打开「VPN Client Manager」，创建新连接时：
  1. 在连接设置的「高级选项」里，找到「连接属性」类的设置，勾选「仅对当前用户可见」（或类似命名的选项，比如“User-specific Connection”）。
  2. 同时在「路由设置」里，选择「仅指定的IP地址通过VPN连接」，添加Synology NAS的LAN网段，这样只有目标LAN的流量会走VPN，且连接只属于当前用户。
• 启动连接时，确保以普通用户身份运行SoftEther，不要用管理员权限。

测试验证 #

设置完成后，切换到另一个用户账户登录Windows，尝试访问Synology NAS的LAN地址，如果无法访问，说明隔离成功；用发起连接的用户账户则能正常访问，就达到你的需求了。

备注：内容来源于stack exchange，提问作者Jesse Yishaeyn