Վերամիավորել Windows VPN-ը՝ առանց գաղտնաբառը առաջադրանքի մեջ դնելու

Ամեն անհսկա վերամիացման բաղադրատոմս վաղ թե ուշ հանգում է նույն հարցին՝ որտեղ է ապրում գաղտնաբառը։ Հանրաճանաչ պատասխանը հենց առաջադրանքի գործողությունն է, որը նաև դրա համար ամենավատ տեղն է։ Գոյություն ունեն ևս երկու նախագիծ։ Որն է հարմարը կախված է նրանից՝ կարո՞ղ է մեքենան նույնականացվել առանց մարդու և արդյո՞ք սերվերն ընդունում է վկայագրեր։

Ինչ է ընթեռնելի թողնում առաջադրանքի գործողությունը

Ժամանակացույց առաջադրանքի արգումենտները դրա սահմանման մասն են, ոչ թե թաքնված գործարկման արժեք։ Յուրաքանչյուր ոք, ով կարող է կարդալ առաջադրանքը, վերականգնել դրա պահուստը կամ արտահանել դրա XML-ը, տեսնում է տողը ճիշտ այնպես, ինչպես դուք մուտքագրել եք։ Գործարկման ընթացքում նույն տողը հայտնվում է գործընթացների ցանկում։ Մոնիտորինգի գործակալը կարող է այն պատճենել մի մատյանում, որը դուք երբեք չեք ստուգում։

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Ստուգեք նախքան հակառակը ենթադրելը։ Առաջին հրամանը տպում է ամբողջ սահմանումը, ներառյալ գործողությունը և դրա արգումենտները։ Երկրորդը ցույց է տալիս, թե ընթացիկ հաշիվը որ հավատարմագրերն է պահել քեշում, ինչը կարևոր է ստորև ներկայացված այլընտրանքային նախագծերի համար։ Եթե գաղտնաբառը հայտնվում է առաջադրանքի XML-ում, ապա դրա պտտումը վերանորոգման միայն կեսն է, որովհետև առաջադրանքը դեռ պահում է հին արժեքը։

Ինչ է իրականում տալիս պահված նախապես համօգտագործված բանալին

Add-VpnConnection -L2tpPsk բանալին գրում է կապի հեռախոսագրքի գրառման մեջ, այլ ոչ թե առաջադրանքի մեջ։ Սա ավելի փոքր ազդեցության մակերես է, քան առաջադրանքի գործողությունը։ Այն դեռևս վերականգնվող գաղտնիք է, որովհետև մեքենայի ադմինիստրատորը կարող է կարդալ հեռախոսագիրքը։

Ձեր վերահսկողության տակ գտնվող երկու մեքենաների միջև լաբորատոր կապի համար այդ փոխանակումը կարող է ընդունելի լինել։ Համօգտագործվող վերջնակետում օգտվողի հավատարմագրերի համար այն այդպիսին չէ։ Այն կոչել գաղտնագրված պահոց չի փոխում, թե ով կարող է կարդալ այն։ Հեռախոսագիրքը կոնֆիգուրացիայի ֆայլ է։ Պլանավորեք այն մարդու համար, ով կարող է բացել այն, ոչ միայն այն մարդու համար, ով կարող է մուտք գործել որպես օգտվող։

Winlogon-ի հավատարմագրերը հեռացնում են գաղտնիքը և ավելացնում կախվածություն

-UseWinlogonCredential ընտրում է այլ ուղի։ Կապը նույնականացվում է MSCHAPv2-ով՝ մուտք գործած օգտվողի հավատարմագրերի դեմ։ Այդ հաշվի համար որևէ լրացուցիչ բան չի պահվում։

Ավելացված կախվածությունը նշանակալի է։ Պետք է լինի ինտերակտիվ մուտք, որից փոխառել, ինչը բացառում է ծառայության հաշիվը և մուտքից առաջ աշխատող առաջադրանքը։ Կապը նաև ժառանգում է այն ամենը, ինչին այդ օգտվողի հավատարմագրերը կարող են հասնել սերվերում։ Կարդացեք անջատիչը որպես հայտարարություն այն մասին, թե որտեղից է գալիս հավատարմագիրը, ոչ որպես անվտանգության կարգավորում։ Այն փոխում է աղբյուրը և ոչինչ չի փոխում նրանում, թե ինչպես է սերվերը հետո լիազորում նստաշրջանը։

Վկայագրով նույնականացումը մասշտաբավորվում է, որովհետև ոչինչ չի պահվում

Այնտեղ, որտեղ սերվերը աջակցում է EAP-TLS-ին, մեքենայի վկայագիրը ամբողջությամբ հեռացնում է համօգտագործված գաղտնիքը, և չեղարկումը տեղի է ունենում վկայագրի շերտում։ SYSTEM-ով աշխատող առաջադրանքը կարող է ներկայացնել այդ վկայագիրը առանց ինտերակտիվ մուտքի։ Հաստատեք, որ սերվերն ընդունում է վկայագրային նույնականացումը, նախքան դրա վրա կառուցելը։ Չաջակցվող մեթոդից կախված նախագիծը պլան է, ոչ լուծում։ Այնուհետև որոշեք, թե որտեղ է ապրում մասնավոր բանալին՝ մեքենայի պահոցը սարքի ինքնության համար, օգտվողի պահոցը՝ մարդու համար։

Այնտեղ, որտեղ հնարավոր չէ խուսափել օգտվողի անունից և գաղտնաբառից, պահեք դրանք Credential Manager-ում՝ սահմանափակված առաջադրանքի սեփական հաշվով։ Թույլ տվեք հաճախորդին դրանք կարդալ այնտեղից, այլ ոչ թե արգումենտից։ Գաղտնիքը, որը առաջադրանքը կարող է ստանալ առանց այն տպելու, ավելի փոքր խնդիր է, քան դրա սահմանման մեջ գրվածը։

Վերանայեք արտեֆակտները հաջորդ պտույտից առաջ

Նայեք այն, ինչ պահված է, այլ ոչ թե այն, ինչ նախատեսել էիք։ Ստուգեք ըստ օգտվողի հեռախոսագիրքը, բոլոր օգտվողների պատճենը, առաջադրանքի XML-ը և ցանկացած սկրիպտ, որը կանչում է հավաքման հրամանը։ Այնուհետև հաստատեք, որ վկայագիրը կամ քեշավորված հավատարմագիրը սահմանափակված է այն հաշվով, որն օգտագործում է առաջադրանքը, որովհետև ձեր ինտերակտիվ հաշվի համար պահված հավատարմագիրը անտեսանելի է SYSTEM-ի համար։

Գրանցեք նույնականացման մեթոդը և հաշիվը հենց առաջադրանքի նշումներում։ Հաջորդ մարդը, ով կփոխի սերվերի քաղաքականությունը, պետք է իմանա, թե որ նախագիծն է գործում։ Այդ պատասխանը չի երևում միայն վերամիացման վարքից։ Գրեք այն այնտեղ, որտեղ հաջորդ պտույտը նախ կնայի։