Endurtengja Windows-VPN án þess að setja lykilorðið í verkið

Hvert ómannað endurtengingaruppskrift lendir fyrr eða síðar í sömu spurningu: hvar lykilorðið býr. Vinsæla svarið er aðgerð verksins sjálfs, sem er líka versti staðurinn fyrir það. Tvær aðrar hannanir eru til. Hvort sem hentar fer eftir því hvort vélin getur auðkennt án manns og hvort þjónninn samþykkir skírteini.

Hvað aðgerð verks lætur vera læsilegt

Röksemdir í tímasettum verki eru hluti af skilgreiningu þess, ekki falin gildi á keyrslutíma. Sérhver sem getur lesið verkið, endurheimt afrit þess eða flutt út XML þess sér strenginn nákvæmlega eins og þú slóst hann inn. Við keyrslu birtist sami strengurinn í ferlalistanum. Vöktunarefni gæti afritað hann í annál sem þú skoðar aldrei.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Athugaðu áður en þú gerir ráð fyrir hinu gagnstæða. Fyrsta skipunin prentar alla skilgreininguna, þar á meðal aðgerðina og röksemdir hennar. Sú seinni sýnir hvaða skilríki núverandi reikningur hefur í skyndiminni, sem skiptir máli fyrir aðrar hannanir hér að neðan. Ef lykilorðið birtist í XML verksins er snúningur þess aðeins helmingur viðgerðarinnar, því verkið heldur enn gömlu gildunum.

Hvað geymdur fyrirfram deildur lykill kaupir í raun

Add-VpnConnection -L2tpPsk skrifar lykilinn í færslu símaskrár tengingarinnar frekar en í verk. Það er minna yfirborð útsetningar en aðgerð verks. Það er samt endurheimtanlegt leyndarmál, því stjórnandi á vélinni getur lesið símaskrána.

Fyrir tilraunatengingu milli tveggja véla sem þú stjórnar getur þessi skipting verið ásættanleg. Fyrir skilríki notanda á sameiginlegum endapunkti er hún það ekki. Að kalla það dulkóðaða geymslu breytir ekki hver getur lesið það. Símaskráin er stillingarskrá. Skipuleggðu fyrir manneskjuna sem getur opnað hana, ekki bara fyrir manneskjuna sem getur skráð sig inn sem notandinn.

Winlogon-skilríki fjarlægja leyndarmálið og bæta við háð

-UseWinlogonCredential fer aðra leið. Tengingin auðkennir með MSCHAPv2 gegn skilríkjum innskráðs notanda. Ekkert aukalegt er geymt fyrir þann reikning.

Háðin sem hún bætir við er veruleg. Það verður að vera til gagnvirk innskráning til að fá lán frá, sem útilokar þjónustureikning og verk sem keyrir fyrir innskráningu. Tengingin erfir líka allt sem skilríki þess notanda ná til á þjóninum. Lestu rofann sem fullyrðingu um hvaðan skilríkið kemur, ekki sem öryggisstillingu. Hann breytir upprunanum og engu um hvernig þjónninn heimilar lotuna eftir á.

Auðkenning með skírteini stækkar því ekkert er geymt

Þar sem þjónninn styður EAP-TLS fjarlægir vélarskírteini hið sameiginlega leyndarmál algjörlega og afturköllun fer fram á skírteinislaginu. Verk sem keyrir sem SYSTEM getur lagt fram það skírteini án gagnvirkrar innskráningar. Staðfestu að þjónninn samþykki auðkenningu með skírteini áður en þú byggir á henni. Hönnun sem háð er óstuddri aðferð er áætlun frekar en lausn. Ákveddu síðan hvar einkalykillinn býr: vélargeymslan fyrir auðkenni tækis, notendageymslan fyrir manneskju.

Þar sem ekki verður komist hjá notandanafni og lykilorði skaltu geyma þau í Credential Manager takmörkuð við eigin reikning verksins. Leyfðu biðlarans að lesa þau þaðan í stað röksemdar. Leyndarmál sem verkið getur sótt án þess að prenta það er minna vandamál en það sem skrifað er í skilgreiningu þess.

Farðu yfir gripina fyrir næstu snúningu

Líttu á hvað er geymt frekar en hvað þú ætlaðir. Athugaðu símaskrána fyrir hvern notanda, afritið fyrir alla notendur, XML verksins og hvert skriftu sem kallar á hringiskipunina. Staðfestu síðan að skírteinið eða skyndiminni skilríkin séu takmörkuð við reikninginn sem verkið notar, því skilríki sem geymd eru fyrir gagnvirkan reikning þinn eru ósýnileg SYSTEM.

Skráðu auðkenningaraðferðina og reikninginn í eigin athugasemdir verksins. Næsta manneskja sem breytir stefnu þjónsins þarf að vita hvaða hönnun er í gangi. Það svar sést ekki bara af hegðun endurtengingarinnar. Skrifaðu það þar sem næsta snúningur mun líta fyrst.