Windows VPN-ə parolu tapşırığa yazmadan yenidən qoşulun

Hər nəzarətsiz yenidənqoşulma resepti sonda eyni sualla üzləşir: parol harada saxlanılır. Populyar cavab tapşırıq əməliyyatının özüdür və bu, onun üçün ən pis yerdir. Başqa iki dizayn var. Hansının uyğun olduğu maşının insansız autentifikasiya edə bilməsindən və serverin sertifikatları qəbul etməsindən asılıdır.

Tapşırıq əməliyyatı nəyi oxunaqlı qoyur

Planlaşdırılmış tapşırıqdakı arqumentlər onun tərifinin bir hissəsidir, gizli icra dəyəri deyil. Tapşırığı oxuya, onun ehtiyat nüsxəsini bərpa edə və ya XML-ni ixrac edə bilən hər kəs sətri sizin yazdığınız kimi görür. İcra zamanı eyni sətir proses siyahısında görünür. Monitorinq agenti onu heç baxmadığınız jurnala köçürə bilər.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Əksini düşünməzdən əvvəl yoxlayın. Birinci əmr əməliyyat və arqumentləri daxil olmaqla tam tərifi çap edir. İkincisi cari hesabın hansı etimadnamələri keşlədiyini göstərir və bu, aşağıdakı alternativ dizaynlar üçün vacibdir. Parol tapşırığın XML-də görünürsə, onu dəyişmək təmirin yalnız yarısıdır, çünki tapşırıq hələ də köhnə dəyəri saxlayır.

Saxlanılan əvvəlcədən paylaşılan açar həqiqətən nə qazandırır

Add-VpnConnection -L2tpPsk açarı tapşırığa deyil, bağlantının telefon kitabçası qeydinə yazır. Bu, tapşırıq əməliyyatından daha kiçik məruz qalma səthidir. Yenə də bərpa oluna bilən sirrdir, çünki maşındakı administrator telefon kitabçasını oxuya bilər.

Nəzarət etdiyiniz iki maşın arasındakı laboratoriya bağlantısı üçün bu mübadilə məqbul ola bilər. Ortaq son nöqtədə istifadəçi etimadnaməsi üçün isə yox. Onu şifrələnmiş saxlama adlandırmaq kimin oxuya biləcəyini dəyişmir. Telefon kitabçası konfiqurasiya faylıdır. Onu aça bilən şəxs üçün plan qurun, yalnız istifadəçi kimi daxil ola bilən şəxs üçün deyil.

Winlogon etimadnamələri sirri aradan qaldırır və asılılıq əlavə edir

-UseWinlogonCredential fərqli yol tutur. Bağlantı autentifikasiya edir MSCHAPv2 ilə daxil olmuş istifadəçinin etimadnamələrinə qarşı. Həmin hesab üçün əlavə heç nə saxlanmır.

Əlavə etdiyi asılılıq ciddidir. Borc alınacaq interaktiv giriş olmalıdır və bu, xidmət hesabını və girişdən əvvəl işləyən tapşırığı istisna edir. Bağlantı həm də həmin istifadəçinin etimadnamələrinin serverdə çata bildiyi hər şeyi miras alır. Açarı təhlükəsizlik parametri kimi deyil, etimadnamənin haradan gəldiyinə dair bəyanat kimi oxuyun. O, mənbəyi dəyişir və serverin sessiyanı sonradan necə səlahiyyətləndirməsinə dair heç nəyi dəyişmir.

Sertifikat autentifikasiyası genişlənir, çünki heç nə saxlanmır

Server EAP-TLS dəstəklədikdə maşın sertifikatı paylaşılan sirri tamamilə aradan qaldırır və ləğvetmə sertifikat qatında baş verir. SYSTEM kimi işləyən tapşırıq həmin sertifikatı interaktiv giriş olmadan təqdim edə bilər. Serverin sertifikat autentifikasiyasını qəbul etdiyini təsdiqləyin, sonra onun ətrafında qurun. Dəstəklənməyən üsuldan asılı dizayn həlldən çox plandır. Sonra şəxsi açarın harada yaşayacağına qərar verin: cihaz kimliyi üçün maşın anbarı, şəxs üçün istifadəçi anbarı.

İstifadəçi adı və paroldan qaçmaq mümkün olmayanda onları tapşırığın öz hesabı ilə məhdudlaşdıraraq Credential Manager-də saxlayın. Qoy müştəri onları arqumentdən deyil, oradan oxusun. Tapşırığın çap etmədən əldə edə bildiyi sirr, onun tərifinə yazılmış sirrdən daha kiçik problemdir.

Növbəti rotasiyadan əvvəl artefaktları nəzərdən keçirin

Niyyətinizə deyil, saxlanılana baxın. İstifadəçi üzrə telefon kitabçasını, bütün istifadəçilər üçün nüsxəni, tapşırıq XML-ni və dial əmrini çağıran istənilən skripti yoxlayın. Sonra sertifikatın və ya keşlənmiş etimadnamənin tapşırığın istifadə etdiyi hesabla məhdudlaşdığını təsdiqləyin, çünki interaktiv hesabınız üçün saxlanılan etimadnamə SYSTEM üçün görünməzdir.

Autentifikasiya metodunu və hesabı tapşırığın öz qeydlərində yazın. Serverin siyasətini dəyişəcək növbəti şəxs hansı dizaynın işlədiyini bilməlidir. Bu cavab yalnız yenidənqoşulma davranışından görünmür. Onu növbəti rotasiyanın ilk baxacağı yerə yazın.