Windows VPN'ин паролду тапшырмага салбастан кайра туташтыруу

Ар бир көзөмөлсүз кайра туташуу рецепти эртеби-кечпи бир суроого келет: сырсөз кайда жашайт. Популярдуу жооп — тапшырманын аракетинин өзү, ал ага эң начар жер да. Дагы эки долбоор бар. Кайсынысы ылайыктуу экени машина адамсыз аутентификациялай алабы жана сервер сертификаттарды кабыл алабы дегенге байланыштуу.

Тапшырманын аракети эмнени окуй тургандай калтырат

Пландалган тапшырмадагы аргументтер анын аныктамасынын бөлүгү, жашыруун аткаруу мааниси эмес. Тапшырманы окуй алган, анын камдык көчүрмөсүн калыбына келтире алган же XML'ин экспорттой алган ар ким сапты сиз тергендей так көрөт. Аткаруу учурунда ошол эле сап процесстер тизмесинде пайда болот. Мониторинг агенти аны сиз эч качан карабаган журналга көчүрүшү мүмкүн.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Тескерисинче деп ойлоодон мурун текшериңиз. Биринчи буйрук аракетти жана анын аргументтерин камтыган толук аныктаманы басып чыгарат. Экинчиси учурдагы эсеп кайсы каттоо маалыматтарын кэштегенин көрсөтөт, бул төмөнкү альтернативалуу долбоорлор үчүн маанилүү. Эгер сырсөз тапшырманын XML'инде пайда болсо, аны айландыруу оңдоонун жарымы гана, анткени тапшырма дагы эле эски маанини кармап турат.

Сакталган алдын ала бөлүшүлгөн ачкыч чындыгында эмне берет

Add-VpnConnection -L2tpPsk ачкычты тапшырмага эмес, туташуунун телефон китепчесинин жазуусуна жазат. Бул тапшырманын аракетине караганда кичирээк таасир бетинен. Ал дагы эле калыбына келтирилүүчү сыр, анткени машинадагы администратор телефон китепчесин окуй алат.

Өзүңүз көзөмөлдөгөн эки машинанын ортосундагы лабораториялык байланыш үчүн бул алмашуу кабыл алынарлык болушу мүмкүн. Жалпы акыркы чекиттеги колдонуучунун каттоо маалыматтары үчүн андай эмес. Аны шифрленген сактоо деп атоо аны ким окуй алаарын өзгөртпөйт. Телефон китепчеси конфигурация файлы. Аны ача алган адам үчүн пландаңыз, колдонуучу катары кире алган адам үчүн гана эмес.

Winlogon каттоо маалыматтары сырды алып салат жана көз карандылык кошот

-UseWinlogonCredential башка жолду тандайт. Туташуу төмөнкү менен аутентификацияланат MSCHAPv2 кирген колдонуучунун каттоо маалыматтарына каршы. Бул эсеп үчүн кошумча эч нерсе сакталбайт.

Кошкон көз карандылыгы олуттуу. Карыз алуу үчүн интерактивдүү кирүү болушу керек, бул тейлөө эсебин жана кирүүгө чейинки тапшырманы жокко чыгарат. Туташуу ошондой эле ошол колдонуучунун каттоо маалыматтары серверде жете алгандын баарын мураска алат. Ажыраткычты коопсуздук параметри катары эмес, каттоо маалыматы кайдан келерин билдирген сүйлөм катары окуңуз. Ал булакты өзгөртөт жана сервердин кийин сессияга кантип уруксат бергенинде эч нерсени өзгөртпөйт.

Сертификат менен аутентификация масштабдалат, анткени эч нерсе сакталбайт

Сервер EAP-TLS колдогон жерде машина сертификаты жалпы сырды толугу менен алып салат, жана жокко чыгаруу сертификат катмарында болот. SYSTEM катары иштеген тапшырма бул сертификатты интерактивдүү кирүүсүз көрсөтө алат. Анын үстүнөн куруудан мурун сервер сертификаттык аутентификацияны кабыл алаарын ырастаңыз. Колдоого алынбаган ыкмага көз каранды долбоор — чечим эмес, план. Андан кийин жеке ачкычтын кайда жашаарын чечиңиз: түзмөктүн инсандыгы үчүн машина сактоочу жайы, адам үчүн колдонуучу сактоочу жайы.

Колдонуучунун атынан жана сырсөздөн качуу мүмкүн болбогон жерде аларды тапшырманын өз эсеби менен чектеп Credential Manager'де сактаңыз. Кардар аларды аргументтен эмес, ошол жерден окусун. Тапшырма басып чыгарбастан ала алган сыр анын аныктамасына жазылгандан кичирээк маселе.

Кийинки айландыруудан мурун артефактилерди карап чыгыңыз

Эмнени көздөгөнүңүздү эмес, эмне сакталганын караңыз. Колдонуучу боюнча телефон китепчесин, бардык колдонуучулар үчүн көчүрмөнү, тапшырманын XML'ин жана терет буйругун чакырган ар кандай скриптти текшериңиз. Андан кийин сертификаттын же кэштелген каттоо маалыматтарынын тапшырма колдонгон эсеп менен чектелгенин ырастаңыз, анткени сиздин интерактивдүү эсебиңиз үчүн сакталган каттоо маалыматтары SYSTEM үчүн көрүнбөйт.

Аутентификация ыкмасын жана эсепти тапшырманын өз жазууларына жазыңыз. Сервердин саясатын өзгөртө турган кийинки адам кайсы долбоор колдонулуп жатканын билиши керек. Бул жооп кайра туташуу жүрүм-турумунан гана көрүнбөйт. Аны кийинки айландыруу биринчи карай турган жерге жазыңыз.