Windows VPN-ге құпия сөзді тапсырмаға салмай қайта қосылу

Әрбір қадағалаусыз қайта қосылу рецепті ерте ме, кеш пе бір сұраққа келеді: құпия сөз қайда тұрады. Танымал жауап — тапсырманың әрекетінің өзі, ол ол үшін ең нашар орын да. Тағы екі дизайн бар. Қайсысы сәйкес келетіні машинаның адамсыз аутентификациялана алуына және сервердің сертификаттарды қабылдауына байланысты.

Тапсырма әрекеті нені оқуға болатындай қалдырады

Жоспарланған тапсырмадағы аргументтер оның анықтамасының бөлігі, жасырын орындалу мәні емес. Тапсырманы оқи алатын, оның сақтық көшірмесін қалпына келтіре алатын немесе XML-ін экспорттай алатын кез келген адам жолды сіз тергендей дәл көреді. Орындалу кезінде сол жол процестер тізімінде пайда болады. Мониторинг агенті оны сіз ешқашан қарамайтын журналға көшіруі мүмкін.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Керісінше деп есептемес бұрын тексеріңіз. Бірінші пәрмен әрекет пен оның аргументтерін қоса, толық анықтаманы шығарады. Екіншісі ағымдағы тіркелгінің қандай тіркелу деректерін кэштегенін көрсетеді, бұл төмендегі балама дизайндар үшін маңызды. Егер құпия сөз тапсырманың XML-інде пайда болса, оны айналдыру жөндеудің жартысы ғана, өйткені тапсырма әлі ескі мәнді ұстап тұр.

Сақталған алдын ала ортақ кілт шын мәнінде не береді

Add-VpnConnection -L2tpPsk кілтті тапсырмаға емес, қосылымның телефон кітапшасы жазбасына жазады. Бұл тапсырма әрекетіне қарағанда кішірек әсер ету беті. Ол әлі де қалпына келтірілетін құпия, өйткені машинадағы әкімші телефон кітапшасын оқи алады.

Өзіңіз басқаратын екі машина арасындағы зертханалық байланыс үшін бұл айырбас қолайлы болуы мүмкін. Ортақ соңғы нүктедегі пайдаланушы тіркелу деректері үшін олай емес. Оны шифрланған қойма деп атау оны кім оқи алатынын өзгертпейді. Телефон кітапшасы — конфигурация файлы. Оны аша алатын адам үшін жоспарлаңыз, тек пайдаланушы ретінде кіре алатын адам үшін ғана емес.

Winlogon тіркелу деректері құпияны алып тастап, тәуелділік қосады

-UseWinlogonCredential басқа жол таңдайды. Қосылым келесімен аутентификацияланады MSCHAPv2 кірген пайдаланушының тіркелу деректеріне қарсы. Бұл тіркелгі үшін қосымша ештеңе сақталмайды.

Ол қосатын тәуелділік айтарлықтай. Қарыз алу үшін интерактивті кіру болуы керек, бұл қызмет тіркелгісін және кіруге дейінгі тапсырманы жоққа шығарады. Қосылым сонымен қатар сол пайдаланушының тіркелу деректері серверде жете алатынның бәрін мұраға алады. Ажыратқышты тіркелу деректерінің қайдан келетіні туралы мәлімдеме ретінде оқыңыз, қауіпсіздік параметрі ретінде емес. Ол көзді өзгертеді және сервердің кейін сессияны қалай авторизациялайтынында ештеңені өзгертпейді.

Сертификатпен аутентификациялау ауқымдалады, өйткені ештеңе сақталмайды

Сервер EAP-TLS қолдайтын жерде машина сертификаты ортақ құпияны толығымен алып тастайды және кері қайтарып алу сертификат деңгейінде болады. SYSTEM ретінде жұмыс істейтін тапсырма бұл сертификатты интерактивті кірусіз ұсына алады. Оның үстіне құру алдында сервердің сертификаттық аутентификацияны қабылдайтынын растаңыз. Қолдау көрсетілмеген әдіске тәуелді дизайн — шешім емес, жоспар. Содан кейін жеке кілттің қайда тұратынын шешіңіз: құрылғыны сәйкестендіру үшін машина қоймасы, адам үшін пайдаланушы қоймасы.

Пайдаланушы аты мен құпия сөзден аулақ болу мүмкін болмаған жерде оларды тапсырманың өз тіркелгісімен шектеп Credential Manager-де сақтаңыз. Клиент оларды аргументтен емес, сол жерден оқысын. Тапсырма басып шығармай-ақ ала алатын құпия оның анықтамасына жазылғаннан кішірек мәселе.

Келесі айналым алдында артефактілерді қарап шығыңыз

Не істеуді көздегеніңізді емес, ненің сақталғанын қараңыз. Пайдаланушы бойынша телефон кітапшасын, барлық пайдаланушыларға арналған көшірмені, тапсырманың XML-ін және теру пәрменін шақыратын кез келген скриптті тексеріңіз. Содан кейін сертификаттың немесе кэштелген тіркелу деректерінің тапсырма пайдаланатын тіркелгімен шектелгенін растаңыз, өйткені сіздің интерактивті тіркелгіңіз үшін сақталған тіркелу деректері SYSTEM үшін көрінбейді.

Аутентификация әдісі мен тіркелгіні тапсырманың өз жазбаларына жазыңыз. Сервер саясатын өзгертетін келесі адам қандай дизайн қолданылып жатқанын білуі керек. Бұл жауап тек қайта қосылу мінез-құлқынан көрінбейді. Оны келесі айналым бірінші қарайтын жерге жазыңыз.