Netzwerkkonfigurations-Operatoren Rechte beschränken

Hallo zusammen,
folgendes Problem: Ich hab XP Pro Clients welche einen OpenVPN Client installiert bekommen sollen. Leider Funktioniert der Client nicht ohne administrative Rechte weil für das virtuelle Interface von OpenVPN z.B. dynamisch Routen eintragen werden müssen. Alternativ könnte man die Benutzer in die Gruppe Netzwerkkonfigurations-Operatoren packen, dann funktioniert alles Problemlos. Ich will aber verhindern das die Benutzer selbst ihre IP Einstellungen verändern können. Hat jemand eine Idee wie sich das bewerkstelligen lassen könnte das die Benutzer zwar in der genannten Gruppe sind, aber trotzdem keinen Zugriff auf die Eigenschaften der Netzwerkarte(n) haben? Z.B. das Fenster “Netzwerkverbindungen” wo die Interfaces aufgelistet sind per GPO zu sperren oder ähnliches? Währe für jeden Vorschlag dankbar. Ich will OpenVPN aus verschiedenen Gründen nicht als Dienst laufen lassen.
Vielen Dank und frohe Ostern