Herverbind 'n Windows-VPN sonder om die wagwoord in die taak te sit

Elke onbewaakte herverbindingresep kom uiteindelik by dieselfde vraag uit: waar woon die wagwoord. Die gewilde antwoord is die taakaksie self, wat ook die slegste plek daarvoor is. Twee ander ontwerpe bestaan. Watter een pas, hang daarvan af of die masjien sonder 'n persoon kan verifieer en of die bediener sertifikate aanvaar.

Wat 'n taakaksie leesbaar laat

Argumente in 'n geskeduleerde taak is deel van sy definisie, nie 'n verborge looptydwaarde nie. Enigiemand wat die taak kan lees, 'n rugsteun daarvan kan herstel of sy XML kan uitvoer, sien die string presies soos jy dit getik het. Tydens 'n lopie verskyn dieselfde string in die proseslys. 'n Moniteringsagent kan dit in 'n logboek kopieer wat jy nooit nagaan nie.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Kontroleer voordat jy anders aanneem. Die eerste opdrag druk die volledige definisie, insluitend die aksie en sy argumente. Die tweede wys watter geloofsbriewe die huidige rekening gekas het, wat saak maak vir die alternatiewe ontwerpe hieronder. As die wagwoord in die taak se XML verskyn, is die rotasie daarvan net die helfte van die herstel, want die taak hou steeds die ou waarde.

Wat 'n gestoorde vooraf-gedeelde sleutel werklik koop

Add-VpnConnection -L2tpPsk skryf die sleutel in die verbinding se telefoonboekinskrywing eerder as in 'n taak. Dis 'n kleiner blootstellingsvlak as 'n taakaksie. Dit is steeds 'n herwinbare geheim, want 'n administrateur op die masjien kan die telefoonboek lees.

Vir 'n laboratoriumskakel tussen twee masjiene wat jy beheer, mag daardie ruil aanvaarbaar wees. Vir 'n gebruikersgeloofsbrief op 'n gedeelde eindpunt is dit nie. Om dit geënkripteerde berging te noem, verander nie wie dit kan lees nie. Die telefoonboek is 'n konfigurasielêer. Beplan vir die persoon wat dit kan oopmaak, nie net vir die persoon wat as die gebruiker kan aanmeld nie.

Winlogon-geloofsbriewe verwyder die geheim en voeg 'n afhanklikheid by

-UseWinlogonCredential neem 'n ander roete. Die verbinding verifieer met MSCHAPv2 teen die geloofsbriewe van die aangemelde gebruiker. Niks ekstra word vir daardie rekening gestoor nie.

Die afhanklikheid wat dit byvoeg, is aansienlik. Daar moet 'n interaktiewe aanmelding wees om van te leen, wat 'n diensrekening en 'n aanmeldingsvooraf-taak uitsluit. Die verbinding erf ook alles wat daardie gebruiker se geloofsbriewe op die bediener kan bereik. Lees die skakelaar as 'n stelling oor waar die geloofsbrief vandaan kom, nie as 'n sekuriteitsinstelling nie. Dit verander die bron, en niks aan hoe die bediener die sessie daarna magtig nie.

Sertifikaatverifikasie skaal omdat niks gestoor word nie

Waar die bediener EAP-TLS ondersteun, verwyder 'n masjientosertifikaat die gedeelde geheim heeltemal, en herroeping gebeur op die sertifikaatlaag. 'n Taak wat as SYSTEM loop, kan daardie sertifikaat sonder 'n interaktiewe aanmelding aanbied. Bevestig dat die bediener sertifikaatverifikasie aanvaar voordat jy daaromheen bou. 'n Ontwerp wat op 'n onondersteunde metode staatmaak, is 'n plan eerder as 'n oplossing. Besluit dan waar die private sleutel woon: die masjienstore vir 'n toestelidentiteit, die gebruikerstore vir 'n persoon.

Waar 'n gebruikersnaam en wagwoord nie vermy kan word nie, stoor dit in Credential Manager beperk tot die taak se eie rekening. Laat die kliënt dit daar lees eerder as uit 'n argument. 'n Geheim wat die taak kan ophaal sonder om dit te druk, is 'n kleiner probleem as een wat in sy definisie geskryf is.

Hersien die artefakte voor die volgende rotasie

Kyk na wat gestoor is eerder as na wat jy bedoel het. Kontroleer die per-gebruiker telefoonboek, die alle-gebruikers-kopie, die taak-XML en enige script wat die skakelopdrag roep. Bevestig dan dat die sertifikaat of gekasde geloofsbrief beperk is tot die rekening wat die taak gebruik, want 'n geloofsbrief wat vir jou interaktiewe rekening gestoor is, is onsigbaar vir SYSTEM.

Teken die verifikasiemetode en die rekening in die taak se eie notas aan. Die volgende persoon wat die bediener se beleid verander, moet weet watter ontwerp in gebruik is. Daardie antwoord is nie net uit die herverbindingsgedrag sigbaar nie. Skryf dit waar die volgende rotasie eerste sal kyk.