Atkārtoti savienot Windows VPN, nenorādot paroli uzdevumā

Katra bez uzraudzības atkārtotas savienošanas recepte agrāk vai vēlāk nonāk pie tā paša jautājuma: kur dzīvo parole. Populārā atbilde ir pats uzdevuma darbība, kas tam ir arī sliktākā vieta. Pastāv divi citi projekti. Kurš der, atkarīgs no tā, vai mašīna var autentificēties bez cilvēka un vai serveris pieņem sertifikātus.

Ko uzdevuma darbība atstāj lasāmu

Argumenti plānotā uzdevumā ir tā definīcijas daļa, nevis slēpta izpildlaika vērtība. Ikviens, kas var izlasīt uzdevumu, atjaunot tā dublējumu vai eksportēt tā XML, redz virkni tieši tādu, kā jūs to ievadījāt. Izpildes laikā tā pati virkne parādās procesu sarakstā. Uzraudzības aģents to var nokopēt žurnālā, kuru jūs nekad nepārbaudāt.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Pārbaudiet, pirms pieņemat pretējo. Pirmā komanda izdrukā pilnu definīciju, tostarp darbību un tās argumentus. Otrā parāda, kādus pieteikšanās datus pašreizējais konts ir saglabājis kešatmiņā, kas ir svarīgi tālāk minētajiem alternatīvajiem projektiem. Ja parole parādās uzdevuma XML, tās maiņa ir tikai puse no labojuma, jo uzdevums joprojām tur veco vērtību.

Ko patiesībā dod saglabāta iepriekš kopīgota atslēga

Add-VpnConnection -L2tpPsk ieraksta atslēgu savienojuma tālruņu grāmatas ierakstā, nevis uzdevumā. Tas ir mazāks iedarbības virsmas laukums nekā uzdevuma darbība. Tas joprojām ir atgūstams noslēpums, jo mašīnas administrators var izlasīt tālruņu grāmatu.

Divu jūsu pārvaldītu mašīnu laboratorijas savienojumam šī apmaiņa var būt pieņemama. Koplietota galapunkta lietotāja pieteikšanās datiem tā nav. To saukt par šifrētu krātuvi nemaina to, kas to var izlasīt. Tālruņu grāmata ir konfigurācijas fails. Plānojiet cilvēkam, kurš to var atvērt, ne tikai cilvēkam, kurš var pieteikties kā lietotājs.

Winlogon pieteikšanās dati noņem noslēpumu un pievieno atkarību

-UseWinlogonCredential izvēlas citu ceļu. Savienojums autentificējas ar MSCHAPv2 pret pieteikušā lietotāja pieteikšanās datiem. Šim kontam nekas papildu netiek saglabāts.

Pievienotā atkarība ir ievērojama. Ir jābūt interaktīvai pieteikšanās reizei, no kuras aizņemties, kas izslēdz pakalpojuma kontu un uzdevumu pirms pieteikšanās. Savienojums arī manto visu, ko šī lietotāja pieteikšanās dati var sasniegt serverī. Lasiet slēdzi kā apgalvojumu par to, no kurienes nāk pieteikšanās dati, nevis kā drošības iestatījumu. Tas maina avotu un neko nemaina tajā, kā serveris pēc tam autorizē sesiju.

Autentifikācija ar sertifikātu mērogojas, jo nekas netiek saglabāts

Kur serveris atbalsta EAP-TLS, mašīnas sertifikāts pilnībā noņem kopīgo noslēpumu, un atsaukšana notiek sertifikāta slānī. Uzdevums, kas darbojas kā SYSTEM, var uzrādīt šo sertifikātu bez interaktīvas pieteikšanās. Pirms būvēt uz tā, apstipriniet, ka serveris pieņem autentifikāciju ar sertifikātu. Projekts, kas atkarīgs no neatbalstītas metodes, ir plāns, nevis risinājums. Pēc tam izlemiet, kur dzīvo privātā atslēga: mašīnas krātuve ierīces identitātei, lietotāja krātuve personai.

Kur lietotājvārdu un paroli nevar izvairīties, glabājiet tos Credential Manager, ierobežotus ar paša uzdevuma kontu. Ļaujiet klientam tos lasīt no turienes, nevis no argumenta. Noslēpums, ko uzdevums var iegūt, to neizdrukājot, ir mazāka problēma nekā tāds, kas ierakstīts tā definīcijā.

Pirms nākamās rotācijas pārskatiet artefaktus

Skatieties, kas tiek glabāts, nevis ko bijāt iecerējis. Pārbaudiet tālruņu grāmatu katram lietotājam, kopiju visiem lietotājiem, uzdevuma XML un jebkuru skriptu, kas izsauc zvanīšanas komandu. Pēc tam apstipriniet, ka sertifikāts vai kešatmiņā saglabātie pieteikšanās dati ir ierobežoti ar kontu, ko uzdevums izmanto, jo jūsu interaktīvajam kontam saglabātie pieteikšanās dati SYSTEM nav redzami.

Pierakstiet autentifikācijas metodi un kontu paša uzdevuma piezīmēs. Nākamajam cilvēkam, kas mainīs servera politiku, jāzina, kurš projekts tiek izmantots. Šī atbilde nav redzama tikai no atkārtotas savienošanas uzvedības. Ierakstiet to tur, kur nākamā rotācija skatīsies vispirms.