Windows-VPN nei verbinden, ouni d'Passwuert an d'Aufgab ze leeën

Jidder Rezept fir onbewaacht Neiverbinden kënnt fréier oder méi spéit op déi selwecht Fro: wou wunnt d'Passwuert. Déi verbreet Äntwert ass d'Aufgab-Aktioun selwer, déi och dee schlechtste Plaz dofir ass. Zwee aner Entwërf existéieren. Wien passt hänkt dovun of, ob d'Maschinn ouni Persoun authentifizéiere kann an ob de Server Zertifikater akzeptéiert.

Wat eng Aufgab-Aktioun liesbar léisst

Argumenter an enger geplangter Aufgab sinn Deel vun hirer Definitioun, keen verstoppte Runtime-Wäert. Jiddereen, deen d'Aufgab liesen, eng Kopie dovun restauréieren oder hir XML exportéiere kann, gesäit de String genee sou wéi Dir en aginn hutt. Wärend engem Laf erschéngt dee selwechte String an der Prozesslëscht. En Iwwerwaachungsagent kann en an e Log kopéieren, deen Dir ni iwwerpréift.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Iwwerpréift, ier Dir dat Ëmgedréite unhëlt. Déi éischt Kommando dréckt déi vollständeg Definitioun, inklusiv der Aktioun an hiren Argumenter. Déi zweet weist, wéi eng Umeldungsinformatiounen dee momentanen Kont am Cache huet, wat fir déi alternativ Entwërf hei drënner wichteg ass. Wann d'Passwuert an der XML vun der Aufgab erschéngt, ass seng Rotatioun just d'Halschent vun der Reparatur, well d'Aufgab nach ëmmer dee ale Wäert hält.

Wat ee gespäicherte virdeele vum Schlëssel wierklech bréngt

Add-VpnConnection -L2tpPsk schreift de Schlëssel an den Telefonbuchagang vun der Verbindung amplaz an eng Aufgab. Dat ass eng méi kleng Expositiounsfläch wéi eng Aufgab-Aktioun. Et ass nach ëmmer e Geheimnis, dat een erëm erëmfanne kann, well en Administrateur op der Maschinn den Telefonbuch liese kann.

Fir eng Laborverbindung tëscht zwou Maschinnen, déi Dir kontrolléiert, kann deen Tausch akzeptabel sinn. Fir eng Benotzer-Umeldungsinformatioun op engem gedeelten Endpunkt ass et dat net. Et verschlësselt Späichere ze nennen ännert net, wien et liese kann. Den Telefonbuch ass eng Konfiguratiounsdatei. Plangt fir d'Persoun, déi en opmaache kann, net nëmme fir d'Persoun, déi sech als Benotzer aloggen kann.

Winlogon-Umeldungsinformatioune läschen de Geheimnis a füügen eng Ofhängegkeet bäi

-UseWinlogonCredential hëlt en anere Wee. D'Verbindung authentifizéiert mat MSCHAPv2 géint d'Umeldungsinformatioune vum ageloggte Benotzer. Fir dee Kont gëtt näischt zousätzlech gespäichert.

D'Ofhängegkeet, déi et bäifügt, ass bedeitend. Et muss en interaktive Logon ginn, vun deem een léine kann, wat e Servicekont an eng Aufgab virum Logon ausschléisst. D'Verbindung ierft och alles, wat d'Umeldungsinformatioune vun deem Benotzer um Server erreeche kënnen. Liest de Schalter als Ausso driwwer, wou d'Umeldungsinformatioun hierkënnt, net als Sécherheetsastellung. Et ännert d'Quell a näischt dorun, wéi de Server d'Sessioun duerno autoriséiert.

Zertifikat-Authentifizéierung skaléiert, well näischt gespäichert gëtt

Wou de Server EAP-TLS ënnerstëtzt, läscht e Maschinnen-Zertifikat de gedeelte Geheimnis komplett, an de Widderruff geschitt op der Zertifikats-Schicht. Eng Aufgab, déi als SYSTEM leeft, kann dat Zertifikat ouni interaktive Logon presentéieren. Bestätegt, datt de Server Zertifikat-Authentifizéierung akzeptéiert, ier Dir drop opbaut. En Entwurf, deen op enger net ënnerstëtzter Method berout, ass e Plang an net eng Léisung. Entscheet duerno, wou de private Schlëssel wunnt: de Maschinnespeicher fir eng Apparat-Identitéit, de Benotzerspeicher fir eng Persoun.

Wou e Benotzernumm a Passwuert net ze vermeide sinn, späichert se am Credential Manager, limitéiert op den eegene Kont vun der Aufgab. Loosst de Client se vun do liesen amplaz vun engem Argument. E Geheimnis, dat d'Aufgab erëmfanne kann, ouni et ze drécken, ass eng méi kleng Problematik wéi eng, déi an hir Definitioun geschriwwe gouf.

Iwwerpréift d'Artefakten virun der nächster Rotatioun

Kuckt op dat, wat gespäichert ass, amplaz op dat, wat Dir virhat hat. Iwwerpréift den Telefonbuch pro Benotzer, d'Kopie fir all Benotzer, d'XML vun der Aufgab an all Skript, dat d'Waalkommando oprufft. Bestätegt duerno, datt d'Zertifikat oder déi gespäichert Umeldungsinformatioun op de Kont limitéiert ass, deen d'Aufgab benotzt, well eng Umeldungsinformatioun, déi fir Ären interaktive Kont gespäichert gouf, fir SYSTEM onsichtbar ass.

Notéiert d'Authentifizéierungsmethod an de Kont an den Notize vun der Aufgab selwer. Déi nächst Persoun, déi d'Politik vum Server ännert, muss wëssen, wéien Entwurf am Spill ass. Déi Äntwert ass net nëmmen aus dem Neiverbindungsverhalen ze gesinn. Schreift se do, wou déi nächst Rotatioun als Éischt kuckt.