Перападалучэнне да VPN у Windows без захавання пароля ў заданні

Кожны рэцэпт аўтаматычнага перападалучэння рана ці позна сустракае тое ж пытанне: дзе захоўваецца пароль. Папулярны адказ — само дзеянне задання, і гэта таксама найгоршае месца для яго. Існуюць два іншыя варыянты. Які з іх падыдзе, залежыць ад таго, ці можа машына аўтэнтыфікавацца без чалавека і ці прымае сервер сертыфікаты.

Што пакідае даступным для чытання дзеянне задання

Аргументы ў запланаваным заданні — частка яго азначэння, а не схаванае значэнне часу выканання. Кожны, хто можа прачытаць заданне, аднавіць яго рэзервовую копію або экспартаваць яго XML, бачыць радок менавіта такім, як вы яго ўвялі. Падчас запуску той жа радок з'яўляецца ў спісе працэсаў. Агент маніторынгу можа скапіяваць яго ў журнал, які вы ніколі не праглядаеце.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Праверце, перш чым меркаваць інакш. Першая каманда друкуе поўнае азначэнне, уключаючы дзеянне і яго аргументы. Другая паказвае, якія ўліковыя даныя бягучы ўліковы запіс захаваў у кэшы, што важна для альтэрнатыўных варыянтаў ніжэй. Калі пароль з'яўляецца ў XML задання, яго змена — толькі палова рамонту, бо заданне ўсё яшчэ трымае старое значэнне.

Што насамрэч дае захаваны папярэдне агульны ключ

Add-VpnConnection -L2tpPsk запісвае ключ у запіс тэлефоннай кнігі злучэння, а не ў заданне. Гэта меншая плошча ўздзеяння, чым дзеянне задання. Але гэта ўсё яшчэ аднаўляльны сакрэт, бо адміністратар на машыне можа прачытаць тэлефонную кнігу.

Для лабараторнага злучэння паміж дзвюма машынамі, якія вы кантралюеце, такі абмен можа быць прымальным. Для ўліковых даных карыстальніка на агульнай канцавой кропцы — не. Называць гэта зашыфраваным сховішчам не змяняе таго, хто можа гэта прачытаць. Тэлефонная кніга — гэта файл канфігурацыі. Плануйце для чалавека, які можа яго адкрыць, а не толькі для таго, хто можа ўвайсці як карыстальнік.

Уліковыя даныя Winlogon прыбіраюць сакрэт і дадаюць залежнасць

-UseWinlogonCredential выкарыстоўвае іншы шлях. Злучэнне аўтэнтыфікуецца праз MSCHAPv2 супраць уліковых даных увайшоўшага карыстальніка. Для гэтага ўліковага запісу нічога дадаткова не захоўваецца.

Залежнасць, якую ён дадае, значная. Патрэбен інтэрактыўны ўваход, з якога можна пазычыць, а гэта выключае службовы ўліковы запіс і заданне, якое працуе да ўваходу. Злучэнне таксама атрымлівае ў спадчыну ўсё, да чаго ўліковыя даныя гэтага карыстальніка маюць доступ на серверы. Чытайце пераключальнік як сцвярджэнне пра крыніцу ўліковых даных, а не як наладу бяспекі. Ён змяняе крыніцу і нічога не мяняе ў тым, як сервер аўтарызуе сеанс пасля.

Аўтэнтыфікацыя сертыфікатамі масштабуецца, бо нічога не захоўваецца

Калі сервер падтрымлівае EAP-TLS, сертыфікат машыны цалкам прыбірае агульны сакрэт, а адкліканне адбываецца на ўзроўні сертыфіката. Заданне, якое працуе як SYSTEM, можа прад'явіць гэты сертыфікат без інтэрактыўнага ўваходу. Пераканайцеся, што сервер прымае аўтэнтыфікацыю сертыфікатамі, перш чым будаваць на ёй. Дызайн, які залежыць ад непадтрымліванага метаду, — гэта план, а не рашэнне. Затым вырашыце, дзе жыве прыватны ключ: сховішча машыны для ідэнтычнасці прылады, сховішча карыстальніка для чалавека.

Калі імя карыстальніка і пароль нельга пазбегнуць, захавайце іх у Credential Manager з абмежаваннем на ўласны ўліковы запіс задання. Няхай кліент чытае іх адтуль, а не з аргумента. Сакрэт, які заданне можа атрымаць, не друкуючы яго, — меншая праблема, чым сакрэт, запісаны ў яго азначэнне.

Перагледзьце артэфакты перад наступнай ратацыяй

Глядзіце на тое, што захоўваецца, а не на тое, што вы мелі на ўвазе. Праверце тэлефонную кнігу асобнага карыстальніка, копію для ўсіх карыстальнікаў, XML задання і любы скрыпт, які выклікае каманду набору. Затым пераканайцеся, што сертыфікат або кэшаваныя ўліковыя даныя абмежаваныя ўліковым запісам, які выкарыстоўвае заданне, бо ўліковыя даныя, захаваныя для вашага інтэрактыўнага ўліковага запісу, нябачныя для SYSTEM.

Запішыце метад аўтэнтыфікацыі і ўліковы запіс у нататках самога задання. Наступнаму чалавеку, які зменіць палітыку сервера, трэба ведаць, які дызайн выкарыстоўваецца. Гэты адказ не відаць толькі з паводзін перападалучэння. Напішыце яго там, дзе наступная ратацыя зірне перш за ўсё.