Ĉu Visual Studio malrapida nur per VPN? Kontrolu CRL kaj OCSP

Visual Studio startas normale hejme, poste la sama tekokomputilo aliĝas al la entreprena tunelo kaj ĉiu lanĉo restas duonminuton sur la ekrankurteno. Forigu la politikon kaj la prokrasto foriras kun ĝi; forigu la tunelon kaj okazas la sama afero. Ambaŭ observoj estas ĝustaj, kaj tial la du komponantoj daŭre kulpigas unu la alian. La decida demando estas, ĉu revoka peto pri atestilo atendas vojon, kiun nur la tunelo provizas, aŭ tute ne trovas unu.

Mezuru la alporton, ne la lanĉon

Politiko WDAC, starigita kiel subskribita SiPolicy.p7b, decidas, kiuj bildoj rajtas ruliĝi sur la maŝino. Koda integreco validigas la subskriban ĉenon de bildo antaŭ ekzekuto, kaj tiu validigo povas inkluzivi revokan demandon. La respondo dependas de la CRL-disdona punkto aŭ la OCSP-respondilo, kiun la atestilo nomas ene de si.

Tiuj estas ordinaraj retkveroj, do ilia kosto dependas de tio, kie loĝas la respondilo. Kiam ĝi estas atingebla nur tra la tunelo, aŭ ĝia nomo solviĝas nur per DNS-servilo malantaŭ la tunelo, la validigo atendas, ke la tunelo estu preta. Visual Studio ŝarĝas dum lanĉo grandan nombron da subskribitaj asemblaĵoj kaj etendaĵoj, kaj malgranda prokrasto po bildo fariĝas videbla halto. Nenio estas misformita kaj la politiko kondutas ĝuste tiel, kiel ĝi estas agordita, kaj tial forigo de la politiko ŝajnas ripari la problemon.

Ĉiu subskribita bildo povas kaŭzi retan alvokon

Komencu per subskribita binara dosiero jam sur la disko kaj petu la platformon kontroli ĝin kun la sama alporta konduto, kiun uzas lanĉo. Rulu la komandon unufoje en la tunelo kaj unufoje ekster ĝi, poste komparu la alportajn liniojn anstataŭ la finan verdikton.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

La eligo listigas la ĉenon, la CRL- kaj OCSP-adresojn kaj ĉu ĉiu alporto sukcesis. Respondilo, kiu tempoelĉerpiĝas en la tunelo kaj respondas ekster ĝi, estas la pruvo, kiun vi bezonas, kaj ĝi pezas multe pli ol impreso pri malrapideco. Se la alporto sukcesas malrapide, notu la adreson, por ke la sekva paŝo povu testi tiun gastiganton rekte.

Solvu la gastigantan nomon de la respondilo kaj testu atingeblon ekster la aplikaĵo, ĉar nomon, kiu malsukcesas solviĝi, neniam riparos klienta agordo. La operacia protokolo CodeIntegrity provizas la alian duonon de la pruvo, ligante validigan eventon al la tempostampo de la malrapida lanĉo.

Mallongigu la prokraston sen forigi la kontrolon

Malŝalti la politikon aŭ ŝanĝi ĝin al revizia reĝimo forigas la prokraston kaj forigas la kontrolon, kiun la organizo starigis, do konsideru tion la malĝusta riparo. La pli mallarĝaj elektoj estas ŝanĝo de enkursigo, por ke la respondilo estu atingebla tra la tunelo, escepto en la dividita tunelo por la respondilaj gastigantoj, DNS-korekto kiam la nomo solviĝas al neatingebla adreso, aŭ subtenata kaŝmemora prokurilo por revokaj datumoj. Ĉiu havas alian posedanton: la PKI-teamo posedas la atingeblon de la respondilo, la retteamoj posedas la tunelan dividon, kaj la finpunkta teamo posedas la politikon.

Eligi ĉiun revokan gastiganton el la tunelo ne estas aŭtomate sekura, ĉar interna respondilo povas esti interne laŭintence. Konfirmu la escepton kun la teamo, kiu funkciigas la PKI, antaŭ ol skribi regulon, kiu kviete sendas atestilajn kontrolojn al la publika interreto. Ŝanĝo farita sen tiu konfirmo estas la speco, kiu estas malfarita ĉe la sekva politika refreŝigo.

Kontrolu malvarman starton post la ŝanĝo

Mezuru malvarman starton en ambaŭ statoj kaj konservu la nombrojn, ĉar varma starto pruvas preskaŭ nenion, kiam la asemblaĵoj estas kaŝmemorigitaj. Ripetu la lanĉon el nova sesio, por ke la ŝarĝa vojo de la etendaĵoj denove ekzerciĝu.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Riparita agordo ankoraŭ kontaktas la respondilon aŭ uzas kaŝmemoran vojon, kiun via PKI-teamo aprobis, kaj la protokolo montras, ke la validigo finiĝas anstataŭ tempoelĉerpiĝi. Konfirmu, ke ĵus subskribita aplikaĵo ankoraŭ lanĉiĝas, ĉar politiko, kiu permesas ĉion, ne estas sukcesa riparo. Kontrolu ankaŭ la dosierujon de la aktiva politiko kaj la devigan staton, por ke oni sciu, ke la politiko, kiun vi esploras, estas la kuranta. Tenu la atestilan ĉenon, la respondilan adreson kaj la lanĉajn tempostampojn en la sama bileto, ĉar renovigo kutime movas la respondilon kaj lasas la esceptan aŭ DNS-regulon kaduka.