WLAN-Profile, portables OpenVPN und automatischer AD-Join

- WLAN-Tab: SSIDs (WPA2/WPA3/offen, versteckt) in Blaupausen speichern,
  fuer alle Benutzer anlegen, Profile eines Referenzgeraets uebernehmen
- OpenVPN portabel: offizielles MSI per msiexec /a entpackt + Microsoft-
  signierter TAP-Treiber in tools\openvpn; Treiber wird nur temporaer
  geladen und danach entfernt (--disable-dco, --dev-node)
- .ovpn/Zertifikate je Kunde hochladen, Benutzer/Kennwort optional
- AD-Join mit DC-Test (SRV+LDAP), OU, Umbenennung, lokalen Admins,
  optional ueber VPN; VPN optional als Dienst fuer die erste Anmeldung
- Fehlende Kennwoerter werden beim Start abgefragt und nicht gespeichert

Co-Authored-By: Claude Opus 5.5 <[email protected]>

README.md

@@ -22,6 +22,12 @@ Die Web-API ist immer mit einem zufälligen Token geschützt, das bei jedem Star
   - *Offline*: vom Stick installieren
   - `setup.exe` wird bei Bedarf automatisch geladen; generierte XMLs landen in `office\configs\`.
 - **Desktop-Icons** für alle Benutzer (öffentlicher Desktop): Web-Links (`.url`), Programmverknüpfungen (`.lnk`) und **RDP-Verbindungen** (`.rdp`: im Formular erzeugt inkl. Gateway, RemoteApp, Umleitungen, oder vorhandene .rdp-Dateien hochladen), eigene Icons hochladbar nach `icons\` (werden nach `C:\ProgramData\KDS-Agent\Icons` kopiert). Vorlagen in `config/shortcuts.json`.
+- **WLAN**: SSIDs mit Kennwort (WPA2/WPA3/offen, versteckt, automatisch verbinden) in der Blaupause speichern und für alle Benutzer anlegen. WLAN-Profile eines Referenzgeräts lassen sich inkl. Kennwort übernehmen.
+- **VPN & Domäne**:
+  - **OpenVPN portabel vom Stick**: „Portables OpenVPN erstellen“ lädt einmalig die offiziellen Pakete nach `tools\openvpn\` (OpenVPN aus dem MSI entpackt, ohne Installation, plus Microsoft-signierter TAP-Treiber). Beim Verbinden wird der TAP-Treiber nur temporär geladen und danach wieder entfernt.
+  - `.ovpn` und Zertifikate je Kunde hochladen (`vpn\`), Benutzer/Kennwort optional speichern. Leere Kennwörter werden beim Start abgefragt und nicht gespeichert.
+  - **AD-Join**: Erreichbarkeitstest (DC per DNS-SRV + LDAP), Beitritt mit OU, gleichzeitiger Umbenennung und lokalen Admin-Gruppen, optional über das VPN.
+  - Optional bleibt das VPN als **OpenVPN-Dienst** (offline vom Stick installiert) bestehen, damit die erste Domänenanmeldung außerhalb des Firmennetzes funktioniert.
 - **Bloatware**: Scan des Geräts und Entfernen per Klick: Windows-Store-Apps (für alle Benutzer + Vorlage für neue Benutzer), Hersteller-Tools (HP, Dell, Lenovo, Acer, ASUS), Testversionen (McAfee, Norton …), vorinstallierte Office/OneNote-Versionen (Click-to-Run, z. B. `Microsoft 365 - fr-fr`) und OneDrive. Empfohlene Einträge sind vorausgewählt; der Katalog ist in `config/bloatware.json` erweiterbar. Business-Office-Versionen (Volumen/Enterprise) werden angezeigt, aber nie automatisch empfohlen.
 - **System**: Computername, Zeitzone, Dateiendungen anzeigen (auch für neue Benutzer), Consumer-Features/Werbe-Apps aus.
 - **Sicherheit**: Defender (Echtzeit/Cloud/PUA), Firewall, SmartScreen, UAC, SMBv1 aus, Autorun aus, LSA-Schutz, Telemetrie, RDP an/aus, lokales Admin-Konto.
@@ -44,6 +50,8 @@ config\shortcuts.json          Verknüpfungs-Vorlagen (anpassbar)
 installers\                    hochgeladene Setups + installers.json (Silent-Parameter)
 icons\                         eigene Icons (.ico)
 rdp\                           hochgeladene .rdp-Dateien
+vpn\                           hochgeladene .ovpn-Konfigurationen + Zertifikate
+tools\openvpn\                 portables OpenVPN (bin\, driver\, setup\) – per Klick erstellt
 config\bloatware.json          Bloatware-Katalog (anpassbar)
 packages\winget\               optional: winget-Offlinepakete (*.msixbundle + Abhängigkeiten *.appx)
 office\                        setup.exe, configs\, source\ (Offline-Builds)
@@ -55,7 +63,7 @@ Ist der Stick schreibgeschützt, schreibt der Agent Logs und Schlüssel nach `C:
 
 ## Hinweise
 
-- **Sicherheit**: Blaupausen können Klartext-Kennwörter (lokaler Admin, BitLocker-PIN) enthalten, und `bitlocker-keys\` enthält Wiederherstellungsschlüssel. Den Stick entsprechend schützen. Blaupausen (außer den Beispielen), RDP-Dateien und Schlüssel sind per `.gitignore` von der Versionsverwaltung ausgeschlossen.
+- **Sicherheit**: Blaupausen können Klartext-Kennwörter (lokaler Admin, BitLocker-PIN, WLAN, VPN, Domäne) enthalten, und `bitlocker-keys\` enthält Wiederherstellungsschlüssel. Den Stick entsprechend schützen. VPN- und Domänen-Kennwörter können leer bleiben und werden dann beim Start abgefragt. Blaupausen (außer den Beispielen), RDP-/VPN-Dateien und Schlüssel sind per `.gitignore` von der Versionsverwaltung ausgeschlossen.
 - BitLocker benötigt Windows 11 Pro/Enterprise/Education. Unter Home steht nur die Geräteverschlüsselung zur Verfügung.
 - Die Store-Installation (`msstore`) braucht Internet und kann bei Konten ohne Store-Zugang fehlschlagen.
 - Einige Einstellungen (Computername, LSA-Schutz, SMBv1, BitLocker mit Hardwaretest) werden erst nach einem Neustart wirksam.