Genopret forbindelsen til en Windows-VPN uden at lægge adgangskoden i opgaven

Hver opskrift til uovervåget genopkobling ender med det samme spørgsmål: hvor bor adgangskoden. Det populære svar er selve opgavehandlingen, som også er det værste sted for den. To andre design findes. Hvilket der passer, afhænger af, om maskinen kan godkende uden en person, og om serveren accepterer certifikater.

Hvad en opgavehandling efterlader læsbart

Argumenter i en planlagt opgave er en del af dens definition, ikke en skjult køretidsværdi. Enhver, der kan læse opgaven, gendanne en sikkerhedskopi af den eller eksportere dens XML, ser strengen præcis som du skrev den. Under en kørsel vises den samme streng i proceslisten. En overvågningsagent kan kopiere den til en log, du aldrig gennemgår.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Kontroller, før du antager det modsatte. Den første kommando udskriver hele definitionen, inklusive handlingen og dens argumenter. Den anden viser, hvilke legitimationsoplysninger den aktuelle konto har cachelagret, hvilket er vigtigt for de alternative designs nedenfor. Hvis adgangskoden optræder i opgavens XML, er rotation kun halvdelen af reparationen, fordi opgaven stadig holder den gamle værdi.

Hvad en gemt forudelt nøgle egentlig giver

Add-VpnConnection -L2tpPsk skriver nøglen i forbindelsens telefonbogspost i stedet for i en opgave. Det er en mindre eksponeringsflade end en opgavehandling. Det er stadig en hemmelighed, der kan gendannes, fordi en administrator på maskinen kan læse telefonbogen.

For et laboratorielink mellem to maskiner, du styrer, kan den byttehandel være acceptabel. For en brugerlegitimationsoplysning på et delt endepunkt er den ikke. At kalde det krypteret lagring ændrer ikke, hvem der kan læse det. Telefonbogen er en konfigurationsfil. Planlæg for den person, der kan åbne den, ikke kun for den person, der kan logge på som brugeren.

Winlogon-legitimationsoplysninger fjerner hemmeligheden og tilføjer en afhængighed

-UseWinlogonCredential tager en anden vej. Forbindelsen godkender med MSCHAPv2 mod den påloggede brugers legitimationsoplysninger. Der gemmes intet ekstra for den konto.

Den afhængighed, den tilføjer, er betydelig. Der skal være et interaktivt logon at låne fra, hvilket udelukker en tjenestekonto og en opgave før logon. Forbindelsen arver også alt, hvad den brugers legitimationsoplysninger kan nå på serveren. Læs kontakten som en udtalelse om, hvor legitimationsoplysningen kommer fra, ikke som en sikkerhedsindstilling. Den ændrer kilden og intet ved, hvordan serveren bagefter autoriserer sessionen.

Certifikatgodkendelse skalerer, fordi intet gemmes

Hvor serveren understøtter EAP-TLS, fjerner et maskincertifikat den delte hemmelighed helt, og tilbagekaldelse sker på certifikatlaget. En opgave, der kører som SYSTEM, kan fremvise det certifikat uden et interaktivt logon. Bekræft, at serveren accepterer certifikatgodkendelse, før du bygger på det. Et design, der afhænger af en ikke-understøttet metode, er en plan frem for en løsning. Beslut derefter, hvor den private nøgle bor: maskinlageret til en enhedsidentitet, brugerlageret til en person.

Hvor brugernavn og adgangskode ikke kan undgås, skal du gemme dem i Credential Manager begrænset til opgavens egen konto. Lad klienten læse dem derfra i stedet for fra et argument. En hemmelighed, som opgaven kan hente uden at udskrive den, er et mindre problem end en, der er skrevet ind i dens definition.

Gennemgå artefakterne før den næste rotation

Se på, hvad der er gemt, i stedet for på, hvad du havde tænkt dig. Kontroller telefonbogen for hver bruger, kopien for alle brugere, opgavens XML og ethvert script, der kalder opkaldskommandoen. Bekræft derefter, at certifikatet eller den cachelagrede legitimationsoplysning er begrænset til den konto, opgaven bruger, fordi en legitimationsoplysning gemt til din interaktive konto er usynlig for SYSTEM.

Notér godkendelsesmetoden og kontoen i opgavens egne noter. Den næste person, der ændrer serverens politik, skal vide, hvilket design der er i spil. Det svar er ikke synligt alene ud fra genopkoblingsadfærden. Skriv det, hvor den næste rotation vil kigge først.