작업에 암호를 넣지 않고 Windows VPN 다시 연결하기

모든 무인 재연결 방법은 결국 암호가 어디에 사는가 하는 같은 질문에 도달합니다. 인기 있는 답은 작업 동작 자체이며, 그것은 암호에게 최악의 장소이기도 합니다. 다른 두 가지 설계가 있습니다. 어느 것이 맞는지는 컴퓨터가 사람 없이 인증할 수 있는지와 서버가 인증서를 받아들이는지에 달려 있습니다.

작업 동작이 읽을 수 있게 남기는 것

예약된 작업의 인수는 정의의 일부이며 숨겨진 런타임 값이 아닙니다. 작업을 읽을 수 있거나, 백업을 복원할 수 있거나, XML을 내보낼 수 있는 사람은 입력한 문자열을 그대로 봅니다. 실행 중에는 같은 문자열이 프로세스 목록에 나타납니다. 모니터링 에이전트가 당신이 절대 검토하지 않는 로그로 복사할 수도 있습니다.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

반대라고 가정하기 전에 확인하십시오. 첫 번째 명령은 동작과 인수를 포함한 전체 정의를 출력합니다. 두 번째는 현재 계정이 캐시한 자격 증명을 보여 주며, 아래 대체 설계에 중요합니다. 작업이 여전히 이전 값을 보유하기 때문에 암호가 작업 XML에 나타나면 이를 교체하는 것은 수리의 절반에 불과합니다.

저장된 사전 공유 키가 실제로 주는 것

Add-VpnConnection -L2tpPsk 키를 작업이 아니라 연결의 전화번호부 항목에 기록합니다. 이것은 작업 동작보다 작은 노출 표면입니다. 컴퓨터의 관리자가 전화번호부를 읽을 수 있기 때문에 그래도 복구 가능한 비밀입니다.

당신이 제어하는 두 컴퓨터 사이의 실험실 링크에는 그 교환이 허용될 수 있습니다. 공유 엔드포인트의 사용자 자격 증명에는 그렇지 않습니다. 암호화된 저장소라고 부르는 것은 누가 읽을 수 있는지를 바꾸지 않습니다. 전화번호부는 구성 파일입니다. 그것을 열 수 있는 사람을 위해 계획하고, 사용자로 로그온할 수 있는 사람만을 위해 계획하지 마십시오.

Winlogon 자격 증명은 비밀을 없애고 의존성을 추가합니다

-UseWinlogonCredential 다른 경로를 택합니다. 연결은 다음으로 인증합니다 로그온한 사용자의 자격 증명에 대한 MSCHAPv2. 그 계정을 위해 추가로 저장되는 것은 없습니다.

추가되는 의존성은 상당합니다. 빌려올 대화형 로그온이 있어야 하며, 이는 서비스 계정과 로그온 전 작업을 배제합니다. 연결은 또한 그 사용자의 자격 증명이 서버에서 도달할 수 있는 모든 것을 상속합니다. 스위치를 보안 설정이 아니라 자격 증명의 출처에 대한 진술로 읽으십시오. 출처를 바꿀 뿐이며, 이후 서버가 세션을 승인하는 방식은 아무것도 바꾸지 않습니다.

인증서 인증은 아무것도 저장하지 않기 때문에 확장됩니다

서버가 EAP-TLS를 지원하는 곳에서는 컴퓨터 인증서가 공유 비밀을 완전히 제거하고, 폐기는 인증서 계층에서 이루어집니다. SYSTEM으로 실행되는 작업은 대화형 로그온 없이 그 인증서를 제시할 수 있습니다. 그 위에 구축하기 전에 서버가 인증서 인증을 받아들이는지 확인하십시오. 지원되지 않는 방법에 의존하는 설계는 해결책이 아니라 계획입니다. 그런 다음 장치 ID에는 컴퓨터 저장소, 사람에게는 사용자 저장소로 개인 키가 어디에 사는지 결정하십시오.

사용자 이름과 암호를 피할 수 없을 때는 작업 자체의 계정으로 범위를 제한하여 Credential Manager에 저장하십시오. 클라이언트가 인수에서가 아니라 거기에서 읽게 하십시오. 작업이 출력하지 않고 검색할 수 있는 비밀은 그 정의에 기록된 것보다 작은 문제입니다.

다음 로테이션 전에 아티팩트를 검토하십시오

의도한 것이 아니라 저장된 것을 보십시오. 사용자별 전화번호부, 모든 사용자용 복사본, 작업 XML, 그리고 전화 걸기 명령을 호출하는 모든 스크립트를 확인하십시오. 대화형 계정을 위해 저장된 자격 증명은 SYSTEM에 보이지 않기 때문에 인증서 또는 캐시된 자격 증명이 작업이 사용하는 계정으로 제한되는지 확인하십시오.

인증 방법과 계정을 작업 자체의 메모에 기록하십시오. 다음에 서버 정책을 바꿀 사람은 어떤 설계가 사용 중인지 알아야 합니다. 그 답은 재연결 동작만으로는 보이지 않습니다. 다음 로테이션이 가장 먼저 볼 곳에 그것을 쓰십시오.