Ferbing in Windows-VPN sûnder it wachtwurd yn 'e taak te setten

Elk resept foar ûnbewekke ferbining komt úteinlik by deselde fraach: wêr wennet it wachtwurd. It populêre antwurd is de taakaksje sels, wat ek de minste plak dêrfoar is. Twa oare ûntwerpen bestean. Hokker past hinget ôf fan oft de masine sûnder persoan autentisearje kin en oft de server sertifikaten akseptearret.

Wat in taakaksje lêsber lit

Arguminten yn in plande taak binne diel fan har definysje, gjin ferburgen runtime-wearde. Elkenien dy't de taak lêze kin, in reservekopy weromsette kin of har XML eksportearje kin, sjocht de tekenrige krekt sa't jo it typt hawwe. By in run ferskynt deselde tekenrige yn 'e prosesslist. In monitoringagent kin it kopiearje nei in loch dy't jo nea besjogge.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Kontrolearje foardat jo it tsjinoer oannimme. It earste kommando printsjelet de folsleine definysje, ynklusyf de aksje en har arguminten. It twadde lit sjen hokker oanmeldgegevens it hjoeddeistige akkount cachet hat, wat fan belang is foar de alternative ûntwerpen hjirûnder. As it wachtwurd yn 'e XML fan 'e taak ferskint, is it rotearjen derfan mar de helte fan 'e reparaasje, want de taak hâldt noch de âlde wearde.

Wat in bewarre foarôf dielde kaai echt keapet

Add-VpnConnection -L2tpPsk skriuwt de kaai yn 'e telefoanboekynfier fan 'e ferbining yn stee fan yn in taak. Dat is in lytser bleatstellingsflak as in taakaksje. It is noch altyd in werom te heljen geheim, want in behearder op 'e masine kin it telefoanboek lêze.

Foar in laboratoariumferbining tusken twa masines dy't jo beheare, kin dy ruil akseptabel wêze. Foar oanmeldgegevens fan in brûker op in dield einpunt is it dat net. It fersifere opslach neame feroaret net wa't it lêze kin. It telefoanboek is in konfiguraasjebestân. Plan foar de persoan dy't it iepenje kin, net allinnich foar de persoan dy't as brûker oanmelde kin.

Winlogon-oanmeldgegevens ferwiderje it geheim en foegje in ôfhinklikens ta

-UseWinlogonCredential nimt in oare rûte. De ferbining autentisearret mei MSCHAPv2 tsjin de oanmeldgegevens fan 'e oanmeldde brûker. Foar dat akkount wurdt neat ekstra bewarre.

De ôfhinklikens dy't it tafoeget is grut. Der moat in ynteraktive oanmelding wêze om fan te lienen, wat in tsjinstakkount en in taak foar de oanmelding útslút. De ferbining erft ek alles wat de oanmeldgegevens fan dy brûker op 'e server berikke kinne. Lês de skeakel as in útspraak oer wêr't de oanmeldgegevens wei komme, net as in feilichheidsynstelling. Hy feroaret de boarne, en neat oan hoe't de server de sesje dêrnei autorisearret.

Sertifikaatautentikaasje skaallet omdat neat bewarre wurdt

Wêr't de server EAP-TLS stipet, ferwideret in masinesertifikaat it dielde geheim folslein, en ynlûken bart op 'e sertifikaatlaach. In taak dy't as SYSTEM rint kin dat sertifikaat presintearje sûnder ynteraktive oanmelding. Befêstigje dat de server sertifikaatautentikaasje akseptearret foardat jo derop bouwe. In ûntwerp dat fan in net-stipe metoade ôfhinklik is, is in plan yn stee fan in oplossing. Beslis dan wêr't de partikuliere kaai wennet: de masineopslach foar in apparaatidentiteit, de brûkeropslach foar in persoan.

Wêr't in brûkersnamme en wachtwurd net te foarkommen binne, bewarje se yn Credential Manager beheind ta it eigen akkount fan 'e taak. Lit de klant se dêrwei lêze yn stee fan út in argumint. In geheim dat de taak helje kin sûnder it te printsjen is in lytser probleem as ien dat yn har definysje skreaun is.

Besjoch de artefakten foar de folgjende rotasje

Sjoch nei wat bewarre is yn stee fan nei wat jo bedoelden. Kontrolearje it telefoanboek per brûker, de kopy foar alle brûkers, de XML fan 'e taak en elk skript dat it kieskommando oanropt. Befêstigje dan dat it sertifikaat of de cachete oanmeldgegevens beheind binne ta it akkount dat de taak brûkt, want oanmeldgegevens dy't foar jo ynteraktive akkount bewarre binne, binne ûnsichtber foar SYSTEM.

Skriuw de autentikaasjemetoade en it akkount yn 'e notysjes fan 'e taak sels. De folgjende persoan dy't it belied fan 'e server feroaret, moat witte hokker ûntwerp yn it spul is. Dat antwurd is net allinnich út it ferbiningsgedrach te sjen. Skriuw it dêr't de folgjende rotasje earst sjocht.