Windows VPN-ის ხელახლა დაკავშირება დავალებაში პაროლის დატოვების გარეშე

ყოველი უყურადღებო ხელახალი დაკავშირების რეცეპტი საბოლოოდ იმავე კითხვას ხვდება: სად ცხოვრობს პაროლი. პოპულარული პასუხი თავად დავალების მოქმედებაა, რაც მისთვის ყველაზე ცუდი ადგილიცაა. არსებობს ორი სხვა დიზაინი. რომელი მოერგება, დამოკიდებულია იმაზე, შეუძლია თუ არა მანქანას ადამიანის გარეშე ავთენტიფიკაცია და მიიღებს თუ არა სერვერი სერტიფიკატებს.

რას ტოვებს წაკითხვად დავალების მოქმედება

დაგეგმილი დავალების არგუმენტები მისი განსაზღვრების ნაწილია და არა დამალული გაშვების დროის მნიშვნელობა. ყველა, ვისაც შეუძლია დავალების წაკითხვა, მისი სარეზერვო ასლის აღდგენა ან მისი XML-ის ექსპორტი, ხედავს სტრიქონს ზუსტად ისე, როგორც თქვენ აკრიფეთ. გაშვების დროს იგივე სტრიქონი პროცესების სიაში ჩნდება. მონიტორინგის აგენტმა შეიძლება ის ჟურნალში დააკოპიროს, რომელსაც არასდროს ამოწმებთ.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

შეამოწმეთ, სანამ საპირისპიროს დაუშვებთ. პირველი ბრძანება ბეჭდავს სრულ განსაზღვრებას, მოქმედებისა და მისი არგუმენტების ჩათვლით. მეორე აჩვენებს, რომელი სერტიფიკატები აქვს მიმდინარე ანგარიშს ქეშში შენახული, რაც მნიშვნელოვანია ქვემოთ მოცემული ალტერნატიული დიზაინებისთვის. თუ პაროლი დავალების XML-ში ჩნდება, მისი შეცვლა შეკეთების მხოლოდ ნახევარია, რადგან დავალება ჯერ კიდევ ძველ მნიშვნელობას ინახავს.

რას ნამდვილად იძლევა შენახული წინასწარ გაზიარებული გასაღები

Add-VpnConnection -L2tpPsk გასაღებს წერს კავშირის სატელეფონო წიგნის ჩანაწერში და არა დავალებაში. ეს უფრო მცირე ზემოქმედების ზედაპირია, ვიდრე დავალების მოქმედება. ის მაინც აღდგენადი საიდუმლოა, რადგან მანქანის ადმინისტრატორს შეუძლია სატელეფონო წიგნის წაკითხვა.

თქვენს მიერ კონტროლირებად ორ მანქანას შორის ლაბორატორიული კავშირისთვის ეს გაცვლა შეიძლება მისაღები იყოს. საერთო ბოლო წერტილზე მომხმარებლის სერტიფიკატებისთვის არა. მას დაშიფრული შენახვის დარქმევა არ ცვლის, ვის შეუძლია მისი წაკითხვა. სატელეფონო წიგნი კონფიგურაციის ფაილია. დაგეგმეთ ადამიანისთვის, რომელსაც შეუძლია მისი გახსნა, და არა მხოლოდ იმ ადამიანისთვის, რომელსაც შეუძლია მომხმარებლად შესვლა.

Winlogon-ის სერტიფიკატები აშორებს საიდუმლოს და ამატებს დამოკიდებულებას

-UseWinlogonCredential სხვა გზას ირჩევს. კავშირი ავთენტიფიკაციას ახდენს MSCHAPv2-ით შესული მომხმარებლის სერტიფიკატების წინააღმდეგ. ამ ანგარიშისთვის დამატებითი არაფერი ინახება.

დამატებული დამოკიდებულება მნიშვნელოვანია. უნდა არსებობდეს ინტერაქტიული შესვლა, საიდანაც სესხულობთ, რაც გამორიცხავს სერვისის ანგარიშს და შესვლამდე მოქმედ დავალებას. კავშირი ასევე მემკვიდრეობით იღებს ყველაფერს, რასაც ამ მომხმარებლის სერტიფიკატები სერვერზე აღწევს. წაიკითხეთ გადამრთველი როგორც განაცხადი იმაზე, საიდან მოდის სერტიფიკატი, და არა როგორც უსაფრთხოების პარამეტრი. ის ცვლის წყაროს და არაფერს ცვლის იმაში, როგორ ავტორიზებს სერვერი სესიას შემდეგ.

სერტიფიკატით ავთენტიფიკაცია მასშტაბირდება, რადგან არაფერი ინახება

სადაც სერვერი მხარს უჭერს EAP-TLS-ს, მანქანის სერტიფიკატი მთლიანად შლის გაზიარებულ საიდუმლოს და გაუქმება სერტიფიკატის დონეზე ხდება. SYSTEM-ად მოქმედ დავალებას შეუძლია ამ სერტიფიკატის წარდგენა ინტერაქტიული შესვლის გარეშე. დაადასტურეთ, რომ სერვერი იღებს სერტიფიკატით ავთენტიფიკაციას, სანამ მასზე ააშენებთ. მხარდაუჭერელ მეთოდზე დამოკიდებული დიზაინი გეგმაა და არა გადაწყვეტა. შემდეგ გადაწყვიტეთ, სად ცხოვრობს კერძო გასაღები: მანქანის საცავი მოწყობილობის იდენტობისთვის, მომხმარებლის საცავი ადამიანისთვის.

სადაც მომხმარებლის სახელისა და პაროლის თავიდან აცილება შეუძლებელია, შეინახეთ ისინი Credential Manager-ში თავად დავალების ანგარიშზე შეზღუდული. ნება მიეცით კლიენტს წაიკითხოს ისინი იქიდან და არა არგუმენტიდან. საიდუმლო, რომელსაც დავალება ბეჭდვის გარეშე მიიღებს, უფრო მცირე პრობლემაა, ვიდრე მის განსაზღვრებაში ჩაწერილი.

გადახედეთ არტეფაქტებს შემდეგ ბრუნვამდე

შეხედეთ რა არის შენახული და არა რას გეგმავდით. შეამოწმეთ მომხმარებლის მიხედვით სატელეფონო წიგნი, ყველა მომხმარებლის ასლი, დავალების XML და ყველა სკრიპტი, რომელიც ზარის ბრძანებას იძახებს. შემდეგ დაადასტურეთ, რომ სერტიფიკატი ან ქეშირებული სერტიფიკატი შეზღუდულია იმ ანგარიშზე, რომელსაც დავალება იყენებს, რადგან თქვენი ინტერაქტიული ანგარიშისთვის შენახული სერტიფიკატი SYSTEM-ისთვის უხილავია.

ჩაწერეთ ავთენტიფიკაციის მეთოდი და ანგარიში თავად დავალების შენიშვნებში. შემდეგ ადამიანს, ვინც სერვერის პოლიტიკას შეცვლის, უნდა იცოდეს, რომელი დიზაინი მოქმედებს. ეს პასუხი მხოლოდ ხელახალი დაკავშირების ქცევიდან არ ჩანს. ჩაწერეთ ის იქ, სადაც შემდეგი ბრუნვა პირველად შეხედავს.