Visual Studio mall ach amháin ar VPN? Seiceáil CRL agus OCSP

Tosaíonn Visual Studio go hiondúil sa bhaile, ansin ceanglaíonn an ríomhaire glúine céanna leis an tollán corparáideach agus fanann gach seoladh leathnóiméad ar an scáileán tosaigh. Bain an polasaí agus imíonn an mhoill leis; bain an tollán agus tarlaíonn an rud céanna. Tá an dá bhreathnóireacht cruinn, agus is é sin an fáth a mbíonn an dá chomhpháirt ag cur an lochta ar a chéile. Is é an cheist chinntitheach an bhfuil fiosrúchán athghairme teastais ag fanacht le cosán nach soláthraíonn an tollán amháin é, nó nach bhfaigheann sé ceann ar bith.

Tomhais an fháil, ní an seoladh

Cinneann polasaí WDAC, a imscartar mar SiPolicy.p7b sínithe, cé na híomhánna a fhéadfaidh rith ar an meaisín. Déanann sláine cóid bailíochtú ar shlabhra sínithe íomhá sula seoltar í, agus féadfaidh ceist athghairme a bheith san fhíorú sin. Braitheann an freagra ar phointe dáilte CRL nó ar an bhfreagróir OCSP a ainmníonn an teastas ina bhroinn.

Iarratais ghréasáin choitianta iad seo, mar sin braitheann a gcostas ar an áit a bhfuil an freagróir. Nuair nach féidir teacht air ach tríd an tollán, nó nuair nach réitítear a ainm ach trí fhreastalaí DNS taobh thiar den tollán, fanann an bailíochtú go bhfuil an tollán réidh. Lódálann Visual Studio líon mór cóimeálacha agus síntí sínithe ag am tosaithe, agus déantar moill bheag in aghaidh na híomhá de stad infheicthe. Níl aon rud míchumtha agus tá an polasaí ag iompar go díreach mar atá cumraithe, agus is é sin an fáth a bhfeictear gur ceartú é an polasaí a bhaint.

Is féidir le gach íomhá shínithe glao gréasáin a spreagadh

Tosaigh le dénár sínithe atá cheana ar an diosca agus iarr ar an ardán é a fhíorú leis an iompar fála céanna a úsáideann seoladh. Rith an t-ordú uair amháin ar an tollán agus uair amháin lasmuigh de, ansin cuir na línte fála i gcomparáid seachas an fíorasc deiridh.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

Liostaíonn an t-aschur an slabhra, na seoltaí CRL agus OCSP agus ar éirigh le gach fáil. Is é freagróir a théann thar am ar an tollán agus a fhreagraíonn lasmuigh de an fhianaise a theastaíonn uait, agus is mórán níos troime í ná tuairim faoi mhoill. Má éiríonn leis an bhfáil go mall, scríobh síos an seoladh ionas gur féidir leis an gcéad chéim eile an t-óstach sin a thástáil go díreach.

Réitigh ainm óstaigh an fhreagróra agus tástáil an inrochtaineacht lasmuigh den fheidhmchlár, mar ní dhearnfaidh aon socrú cliaint ainm nach réitítear a dheisiú riamh. Soláthraíonn log oibríochtúil CodeIntegrity an leath eile den fhianaise, ag nascadh imeachta bailíochtaithe le hamstampa an tosaithe mhoill.

Gearr an mhoill gan an rialú a bhaint

Nuair a dhíghníomhaitear an polasaí nó a athraítear go mód iniúchta, imíonn an mhoill agus baintear an rialú a d'imscar an eagraíocht, mar sin meas é sin mar an droch-dheisiú. Is iad na roghanna níos cúinge athrú ródaithe ionas go mbeadh an freagróir inrochtana tríd an tollán, eisceacht sa tollán scoilte do óstaigh an fhreagróra, ceartú DNS nuair a réitítear an t-ainm chuig seoladh nach féidir a bhaint amach, nó seachfhreastalaí taisce tacaithe le haghaidh sonraí athghairme. Tá úinéir difriúil ag gach ceann: is le foireann PKI inrochtaineacht an fhreagróra, is le foireann líonra scoilteadh an tolláin, agus is le foireann na gcóras críochphointe an polasaí.

Ní gá gach óstach athghairme a eisiamh ón tollán a bheith sábháilte go huathoibríoch, ó thaobh gur féidir freagróir inmheánach a bheith inmheánach d'aon ghnó. Deimhnigh an eisceacht leis an bhfoireann a reáchtálann an PKI sula scríobhfaidh tú riail a sheolann seiceálacha teastais go ciúin chuig an idirlíon poiblí. Is de chineál a chuirtear ar ceal ag an gcéad athnuachan polasaí eile athrú a dhéantar gan an deimhniú sin.

Fíoraigh fuarthosach tar éis an athraithe

Tomhais fuarthosach sa dá staid agus coinnigh na huimhreacha, mar ní chruthaíonn tosach te mórán ar bith a luaithe is atá na cóimeálacha sa taisce. Déan an seoladh a athdhéanamh ó sheisiún nua ionas go ndéanfar cosán lódála na síntí a fheidhmiú arís.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Déanann cumraíocht dheisithe teagmháil leis an bhfreagróir fós, nó úsáideann sí cosán taisce a cheadaigh d'fhoireann PKI, agus taispeánann an log go gcríochnaítear an bailíochtú seachas dul thar am. Deimhnigh go n-éiríonn le feidhmchlár nua-shínithe fós seoladh, mar ní deisiú rathúil é polasaí a cheadaíonn gach rud. Seiceáil an fillteán den pholasaí gníomhach agus an staid fhorfheidhmithe freisin, ionas go mbeidh a fhios gurb é an polasaí atá á dhífhabhtú agat an ceann atá ag rith. Coinnigh an slabhra teastais, seoladh an fhreagróra agus stampaí ama an tosaithe sa ticéad céanna, mar is gnách go n-aistríonn athnuachan an freagróir agus fágtar an riail eisiamh nó DNS as feidhm.