Windows VPN újracsatlakoztatása jelszó nélkül a feladatban

Minden felügyelet nélküli újracsatlakozási recept végül ugyanahhoz a kérdéshez jut: hol él a jelszó. A népszerű válasz maga a feladatművelet, ami egyben a legrosszabb hely is a számára. Két másik terv létezik. Az illeszkedés attól függ, tud-e a gép személy nélkül hitelesíteni, és elfogad-e a kiszolgáló tanúsítványokat.

Mit hagy olvashatón a feladatművelet

Az ütemezett feladat argumentumai a definíció részei, nem rejtett futásidejű érték. Bárki, aki olvashatja a feladatot, visszaállíthatja a biztonsági másolatát vagy exportálhatja az XML-jét, pontosan úgy látja a karakterláncot, ahogy beírta. Futás közben ugyanaz a karakterlánc megjelenik a folyamatlistán. Egy megfigyelő ügynök olyan naplóba másolhatja, amelyet soha nem vizsgál meg.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Ellenőrizze, mielőtt az ellenkezőjét feltételezné. Az első parancs kiírja a teljes definíciót, beleértve a műveletet és annak argumentumait. A második megmutatja, milyen hitelesítő adatokat gyorsítótárazott az aktuális fiók, ami a lentebbi alternatív tervek szempontjából fontos. Ha a jelszó megjelenik a feladat XML-jében, a cseréje csak a javítás fele, mert a feladat még mindig a régi értéket tartja.

Mit ad valójában egy tárolt előre megosztott kulcs

Add-VpnConnection -L2tpPsk a kulcsot a kapcsolat telefonkönyv-bejegyzésébe írja, nem egy feladatba. Ez kisebb kitettségi felület a feladatműveletnél. Még mindig visszaszerezhető titok, mert a gépen lévő rendszergazda olvashatja a telefonkönyvet.

Két általa vezérelt gép közötti laboratóriumi kapcsolat esetében ez a csere elfogadható lehet. Megosztott végponton lévő felhasználói hitelesítő adat esetében nem. Titkosított tárolásnak nevezni nem változtat azon, ki olvashatja. A telefonkönyv konfigurációs fájl. Azt a személyt tervezze be, aki meg tudja nyitni, nem csak azt, aki felhasználóként be tud jelentkezni.

A Winlogon hitelesítő adatok eltávolítják a titkot és függőséget adnak hozzá

-UseWinlogonCredential más utat választ. A kapcsolat hitelesít MSCHAPv2-vel a bejelentkezett felhasználó hitelesítő adataival szemben. Ehhez a fiókhoz semmi további nem tárolódik.

A hozzáadott függőség jelentős. Lennie kell egy interaktív bejelentkezésnek, amelytől kölcsönözhet, ami kizárja a szolgáltatásfiókot és a bejelentkezés előtti feladatot. A kapcsolat örökli mindazt is, amit a felhasználó hitelesítő adatai elérhetnek a kiszolgálón. A kapcsolót úgy olvassa, mint a hitelesítő adat forrásáról szóló kijelentést, nem biztonsági beállításként. Megváltoztatja a forrást, és semmit sem azon, hogyan engedélyezi a kiszolgáló utána a munkamenetet.

A tanúsítványos hitelesítés skálázódik, mert semmi nem tárolódik

Ahol a kiszolgáló támogatja az EAP-TLS-t, a géptanúsítvány teljesen eltávolítja a megosztott titkot, és a visszavonás a tanúsítvány rétegén történik. A SYSTEM-ként futó feladat bemutathatja ezt a tanúsítványt interaktív bejelentkezés nélkül. Erősítse meg, hogy a kiszolgáló elfogadja a tanúsítványos hitelesítést, mielőtt erre épít. A nem támogatott módszertől függő terv terv, nem megoldás. Ezután döntse el, hol él a titkos kulcs: a gép tárolója az eszközidentitáshoz, a felhasználó tárolója egy személyhez.

Ahol a felhasználónév és a jelszó nem kerülhető el, tárolja őket a Credential Managerben a feladat saját fiókjára korlátozva. Hagyja, hogy az ügyfél onnan olvassa őket, ne egy argumentumból. Az a titok, amelyet a feladat kinyomtatás nélkül elő tud hozni, kisebb probléma, mint a definíciójába írt.

Tekintse át az összetevőket a következő rotáció előtt

Azt nézze, mi van tárolva, ne azt, mit szándékozott. Ellenőrizze a felhasználónkénti telefonkönyvet, a minden felhasználóra vonatkozó másolatot, a feladat XML-jét és minden szkriptet, amely a tárcsázási parancsot hívja. Ezután erősítse meg, hogy a tanúsítvány vagy a gyorsítótárazott hitelesítő adat arra a fiókra korlátozódik, amelyet a feladat használ, mert az interaktív fiókjához tárolt hitelesítő adat láthatatlan a SYSTEM számára.

Jegyezze fel a hitelesítési módszert és a fiókot a feladat saját megjegyzéseibe. A következő embernek, aki megváltoztatja a kiszolgáló szabályzatát, tudnia kell, melyik terv van játékban. Ez a válasz nem látszik csupán az újracsatlakozási viselkedésből. Írja oda, ahol a következő rotáció először néz.