Visual Studio allinne stadich op VPN? Kontrolearje CRL en OCSP

Visual Studio start thús normaal, dan makket deselde laptop ferbining mei de bedriuwstunnel en elke start stiet in heale minút op it startsherm. Helje it belied fuort en de fertraging giet mei; helje de tunnel fuort en itselde bart. Beide waarnimmingen binne krekt, dêrom krije de twa komponinten hieltyd de skuld fan elkoar. De beslissende fraach is oft in sertifikaatynlûkingsfraach wachtet op in paad dat allinne de tunnel biedt, of hielendal gjin ien fynt.

Mjit it opheljen, net de start

In WDAC-belied, útrôle as in ûndertekene SiPolicy.p7b, beslút hokker bylden op de masine rinne meie. Koade-yntegriteit falidearret de hantekeningeketting fan in byld foar útfiering, en dy falidaasje kin in fraach oer ynlûking befetsje. It antwurd hinget ôf fan it CRL-ferdielingspunt of de OCSP-responder dy't it sertifikaat yn him neamt.

Dat binne gewoane netwurkfersiken, dus har kosten hingje ôf fan wêr't de responder wennet. As it allinne fia de tunnel berikber is, of syn namme allinne fia in DNS-tsjinner efter de tunnel oplost wurdt, wachtet de falidaasje oant de tunnel klear is. Visual Studio laded by it starten in grut oantal ûndertekene assemblages en útwreidingen, en in lytse fertraging per byld wurdt in sichtbere stilstân. Neat is misfoarme en it belied hâldt him krekt oan 'e konfiguraasje, dêrom liket it fuortheljen fan it belied it probleem op te lossen.

Elk ûndertekene byld kin in netwurkoprop meitsje

Begjin mei in ûndertekene binêre triem dy't al op 'e skiif stiet en freegje it platfoarm om dy te ferifiearjen mei itselde ophelgedrach as in start. Fier it kommando ien kear op 'e tunnel en ien kear derbûten út, ferlykje dan de ophelrigels ynstee fan it definitive oardiel.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

De útfier listet de ketting, de CRL- en OCSP-adressen en oft elk opheljen slagge. In responder dy't op 'e tunnel yn 'e tiid útrint en derbûten antwurdet, is it bewiis dat jo nedich hawwe, en it weaget folle swierder as in yndruk fan stadigens. As it opheljen stadich slagget, skriuw dan it adres op sadat de folgjende stap dy host direkt testje kin.

Los de hostnamme fan de responder op en test de berikberens bûten de applikaasje, want in namme dy't net oplost wurdt, sil nea troch in kliïntynstelling reparearre wurde. It CodeIntegrity-betriebslog leveret de oare helte fan it bewiis en ferbynt in falidaasje-evenemint mei de tiidstimpel fan 'e stadige start.

Ferkoartsje de fertraging sûnder de kontrôle fuort te heljen

It belied útskeakelje of omsette nei auditsjen kin de fertraging fuorthelje en hellet de kontrôle fuort dy't de organisaasje útrôle hat, beskôgje dat dus as de ferkearde reparaasje. De smeller opsjes binne in rûteferoaring sadat de responder fia de tunnel berikber is, in útsûndering yn 'e splitstunnel foar de responder-hosts, in DNS-korreksje as de namme nei in ûnberikber adres oplost, of in stipe cacheproxy foar ynlûkingsgegevens. Elk hat in oare eigner: it PKI-team besit de berikberens fan 'e responder, it netwurkteam besit de tunnelferdieling en it einpuntteam besit it belied.

Elke ynlûkingshost út 'e tunnel útslute is net automatysk feilich, want in interne responder kin mei opsetsin intern wêze. Befêstigje de útsûndering mei it team dat de PKI draait foardat jo in regel skriuwe dy't sertifikaatkontrôles stil nei it iepenbiere ynternet stjoert. In feroaring sûnder dy befêstiging is fan it soarte dat by de folgjende beliedsferfarsking weromdraaid wurdt.

Ferifiearje in kâlde start nei de feroaring

Mjit in kâlde start yn beide tastannen en bewarje de sifers, want in waarme start bewiist hast neat as de assemblages ienris yn 'e cache sitte. Werhelje de start út in nije sesje sadat it ladingpaad fan 'e útwreidingen wer brûkt wurdt.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

In reparearre konfiguraasje nimt noch altyd kontakt op mei de responder, of brûkt in cachepaad dat jo PKI-team goedkard hat, en it log lit sjen dat de falidaasje foltôge wurdt ynstee fan yn 'e tiid út te rinnen. Befêstigje dat in nij ûndertekene applikaasje noch altyd start, want in belied dat alles tastiet is gjin suksesfolle reparaasje. Kontrolearje ek de map fan it aktive belied en de hanthaveningsstatus, sadat bekend is dat it belied dat jo debugge ek it rinnende is. Hâld de sertifikaatketting, it adres fan 'e responder en de starttiidstimpels yn itselde ticket, want in fernijing ferpleatst meast de responder en lit de útsûnderings- of DNS-regel ferâldere.