Windowsi VPN-i uuesti ühendamine ilma parooli ülesandesse panemata

Iga järelevalveta taasthenduse retsept jõuab lõpuks sama küsimuseni: kus parool elab. Populaarne vastus on ülesande toiming ise, mis on selle jaoks ka halvim koht. Olemas on kaks muud lahendust. Milline sobib, sõltub sellest, kas masin saab autentida ilma inimeseta ja kas server aktsepteerib sertifikaate.

Mida ülesande toiming loetavaks jätab

Ajastatud ülesande argumendid on osa selle definitsioonist, mitte peidetud käitusaegne väärtus. Igaüks, kes saab ülesannet lugeda, selle varukoopia taastada või selle XML-i eksportida, näeb stringi täpselt sellisena, nagu te selle sisestasite. Käivitamise ajal ilmub sama string protsesside loendisse. Jälgimisagent võib selle kopeerida logisse, mida te kunagi ei kontrolli.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Kontrollige enne, kui eeldate vastupidist. Esimene käsk prindib kogu definitsiooni, sealhulgas toimingu ja selle argumendid. Teine näitab, millised volitused praegune konto on vahemällu salvestanud, mis on oluline allpool olevate alternatiivsete lahenduste jaoks. Kui parool ilmub ülesande XML-i, on selle roteerimine vaid pool parandusest, sest ülesanne hoiab endiselt vana väärtust.

Mida salvestatud eeljagatud võti tegelikult annab

Add-VpnConnection -L2tpPsk kirjutab võtme ühenduse telefoniraamatu kirjesse, mitte ülesandesse. See on väiksem avatuse pind kui ülesande toiming. See on siiski taastatav saladus, sest masina administraator saab telefoniraamatut lugeda.

Kahe teie hallatava masina vahelise laboriühenduse jaoks võib see vahetus olla vastuvõetav. Jagatud lõpp-punkti kasutaja volituste jaoks mitte. Selle krüpteeritud salvestuseks nimetamine ei muuda, kes seda lugeda saab. Telefoniraamat on konfiguratsioonifail. Planeerige inimese jaoks, kes saab selle avada, mitte ainult inimese jaoks, kes saab kasutajana sisse logida.

Winlogoni volitused eemaldavad saladuse ja lisavad sõltuvuse

-UseWinlogonCredential valib teise tee. Ühendus autendib MSCHAPv2 abil sisseloginud kasutaja volituste vastu. Selle konto jaoks ei salvestata midagi lisa.

Sõltuvus, mille see lisab, on märkimisväärne. Peab olema interaktiivne sisselogimine, millelt laenata, mis välistab teenusekonto ja enne sisselogimist töötava ülesande. Ühendus pärib ka kõik, mida selle kasutaja volitused serveris kätte saavad. Lugege lülitit väitena selle kohta, kust volitused tulevad, mitte turbeseadena. See muudab allikat ja mitte midagi selles, kuidas server hiljem sessiooni volitab.

Sertifikaadi autentimine skaleerub, sest midagi ei salvestata

Kui server toetab EAP-TLS-i, eemaldab masina sertifikaat jagatud saladuse täielikult ja tühistamine toimub sertifikaadi kihis. SYSTEM-ina töötav ülesanne saab selle sertifikaadi esitada ilma interaktiivse sisselogimiseta. Kinnitage, et server aktsepteerib sertifikaadi autentimist, enne kui sellele ehitate. Toetamata meetodist sõltuv lahendus on plaan, mitte lahendus. Seejärel otsustage, kus privaatvõti elab: masina hoidla seadme identiteedi jaoks, kasutaja hoidla inimese jaoks.

Kui kasutajanime ja parooli ei saa vältida, salvestage need Credential Managerisse, piiratuna ülesande enda kontoga. Laske kliendil need sealt lugeda, mitte argumendist. Saladus, mille ülesanne saab kätte ilma seda printimata, on väiksem probleem kui definitsiooni kirjutatu.

Vaadake artefaktid üle enne järgmist roteerimist

Vaadake seda, mis on salvestatud, mitte seda, mida kavatsesite. Kontrollige kasutajapõhist telefoniraamatut, kõigi kasutajate koopiat, ülesande XML-i ja iga skripti, mis kutsub valimiskäsku. Seejärel kinnitage, et sertifikaat või vahemällu salvestatud volitused on piiratud kontoga, mida ülesanne kasutab, sest teie interaktiivse konto jaoks salvestatud volitused on SYSTEM-i jaoks nähtamatud.

Kirjutage autentimismeetod ja konto ülesande enda märkmetesse. Järgmine inimene, kes serveri poliitikat muudab, peab teadma, milline lahendus on mängus. See vastus ei ole nähtav ainult taasthenduse käitumisest. Kirjutage see sinna, kuhu järgmine roteerimine kõigepealt vaatab.