Visual Studio nëmme langsam um VPN? Iwwerpréift CRL an OCSP

Visual Studio startet doheem normal, duerno verbënnt dee selwechten Laptop sech mam Firmen-Tunnel a jiddweree Start steet eng hallef Minutt um Splash-Screen. Huelt d'Richtlinn ewech an d'Verzögerung geet mat hir; huelt den Tunnel ewech an dat selwecht geschitt. Béid Beobachtungen sinn exakt, dofir gëtt déi eng Komponent ëmmer vun der anerer beschëllegt. D'entscheedend Fro ass ob eng Zertifikatssperr-Abfro op en Wee waart deen nëmmen den Tunnel ubitt, oder guer keen fënnt.

Miisst den Ofruff, net den Start

Eng WDAC-Richtlinn, déi als signéiert SiPolicy.p7b ausgerullt gëtt, entscheet wéi eng Biller op der Maschinn dierfe lafen. D'Codeintegritéit validéiert d'Signaturkette vun engem Bild virun der Ausféierung, an déi Validéierung kann eng Sperrfro enthalen. D'Äntwert hänkt vum CRL-Verdeelungspunkt oder vum OCSP-Responder of, deen den Zertifikat an sech nennt.

Dat sinn normal Netzwierkufroen, dofir hänkt hire Präis dovun of wou den Responder läit. Wéi en nëmmen iwwer den Tunnel erreechbar ass, oder säin Numm sech nëmmen iwwer en DNS-Server hannert dem Tunnel opléist, waart d'Validéierung bis den Tunnel prett ass. Visual Studio lued beim Start eng grouss Zuel vu signéierte Assemblies an Erweiderungen, an eng kleng Verzögerung pro Bild gëtt enger sichtbarer Stockung. Näischt ass fehlerhaft an d'Richtlinn verhält sech genee wéi konfiguréiert, dofir gesäit et aus wéi ob d'Entferne vun der Richtlinn de Problem léist.

Jidweder signéiert Bild kann en Netzwierkopfruff ausléisen

Fänkt mat enger signéierter Binärdatei un déi schonn op der Disk ass a frot d'Plattform se mat demselwechten Ofruffverhalen ze verifizéieren deen en Start benotzt. Fëllt de Befehl eemol um Tunnel an eemol dobaussen aus, vergläicht duerno d'Ofrufflinnen amplaz vum endgültegen Urteel.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

D'Ausgab lëscht d'Kette, d'CRL- an OCSP-Adressen an ob jiddweren Ofruff gelungen ass. En Responder deen um Tunnel an d'Zäit leeft an dobaussen äntwert ass de Beweis deen Dir braucht, an en weit vill méi wéi en Androck vu Luesheet. Wann den Ofruff lues geléngt, notéiert d'Adress esou datt den nächsten Schrëtt deen Host direkt ka testen.

Léist den Hostnumm vum Responder op a test d'Erreechbarkeet ausserhalb vun der Applikatioun, well en Numm deen sech net opléist gëtt ni vun enger Client-Astellug reparéiert. D'CodeIntegrity-Betribslog liwwert déi aner Halschent vum Beweis a verbënnt en Validéierungsevent mam Zäitstempel vum luesen Start.

Kierzt d'Verzögerung ouni d'Kontroll ewechzehuelen

D'Richtlinn desaktivéieren oder an den Auditmodus ëmschalten hëlt d'Verzögerung fort an hëlt d'Kontroll ewech déi d'Organisatioun ausgerullt huet, also betruecht dat als déi falsch Reparatur. Déi méi enk Méiglechkeete sinn eng Routing-Ännerung esou datt den Responder iwwer den Tunnel erreechbar ass, eng Ausnam am Split-Tunnel fir d'Responder-Hosten, eng DNS-Korrektur wann den Numm op eng onerreechbar Adress opléist, oder en ënnerstëtzte Cache-Proxy fir Sperrdaten. Jiddwer huet en aneren Eegentemer: d'PKI-Team besëtzt d'Erreechbarkeet vum Responder, d'Netzwierkteams besëtzen d'Tunneldeelung an d'Endpoint-Team besëtzt d'Richtlinn.

Jiddwer Sperrhost aus dem Tunnel auszeschléissen ass net automatesch sécher, well en internen Responder absichtlech intern ka sinn. Bestätegt d'Ausnam mat dem Team deen d'PKI bedreift ier Dir eng Regel schreift déi Zertifikatspréiwungen hannerlooss an den ëffentlechen Internet schéckt. Eng Ännerung ouni déi Bestätegung ass déi Zort déi bei der nächster Richtlinns-Aktualiséierung zréckgezu gëtt.

Verifizéiert en kale Start no der Ännerung

Miisst en kale Start a béide Statiounen a behält d'Zuelen, well en waarme Start bal näischt beweist wann d'Assemblies am Cache sinn. Widderhëlt den Start aus enger neier Sessioun esou datt den Erluedwee vun den Erweiderungen nach eng Kéier duerchlaf.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

Eng reparéiert Konfiguratioun kontaktéiert den Responder weider, oder benotzt en Cachewee deen Äert PKI-Team guttgeheescht huet, an de Log weist datt d'Validéierung fäerdeg gëtt amplaz an d'Zäit ze lafen. Bestätegt datt eng nei signéiert Applikatioun nach ëmmer startet, well eng Richtlinn déi alles erlaabt ass keng gelungen Reparatur. Préift och den Dossier vun der aktiver Richtlinn an den Ëmsetzungsstatus, esou datt bekannt ass datt d'Richtlinn déi Dir debugt déi lafend ass. Hält d'Zertifikatskette, d'Adress vum Responder an dem Start seng Zäitstempelen am selwechten Ticket, well eng Erneierung de Responder meeschtens verréckelt an d'Ausnam- oder DNS-Regel veraltert léisst.