Повторно поврзување со Windows VPN без лозинка во задачата

Секој рецепт за ненадгледувано повторно поврзување порано или подоцна доаѓа до истото прашање: каде живее лозинката. Популарниот одговор е самата акција на задачата, која е и најлошото место за неа. Постојат два други дизајни. Кој одговара зависи од тоа дали машината може да се автентицира без човек и дали серверот прифаќа сертификати.

Што остава читливо дејството на задачата

Аргументите во закажана задача се дел од нејзината дефиниција, а не скриена вредност при извршување. Секој што може да ја прочита задачата, да врати нејзина резервна копија или да го извезе нејзиниот XML, ја гледа низата точно како што сте ја внеле. За време на извршување истата низа се појавува во списокот на процеси. Агент за надзор може да ја копира во дневник што никогаш не го прегледувате.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Проверете пред да претпоставите спротивното. Првата команда ја печати целата дефиниција, вклучувајќи ја акцијата и нејзините аргументи. Втората покажува кои акредитиви тековната сметка ги има во кешот, што е важно за алтернативните дизајни подолу. Ако лозинката се појавува во XML-от на задачата, нејзината ротација е само половина од поправката, бидејќи задачата уште ја држи старата вредност.

Што навистина дава зачуван однапред споделен клуч

Add-VpnConnection -L2tpPsk го запишува клучот во записот од телефонскиот именик на врската, а не во задача. Тоа е помала површина на изложеност од дејство на задача. Останува тајна што може да се врати, бидејќи администратор на машината може да го прочита телефонскиот именик.

За лабораториска врска помеѓу две машини што ги контролирате, таа размена може да биде прифатлива. За кориснички акредитиви на споделена крајна точка не е. Да се нарече шифрирано складирање не менува кој може да го прочита. Телефонскиот именик е конфигурациска датотека. Планирајте за лицето што може да го отвори, не само за лицето што може да се најави како корисник.

Акредитивите на Winlogon ја отстрануваат тајната и додаваат зависност

-UseWinlogonCredential избира друг пат. Врската се автентицира со MSCHAPv2 наспроти акредитивите на најавениот корисник. За таа сметка не се чува ништо дополнително.

Додадената зависност е значајна. Мора да постои интерактивна најава од која може да се позајми, што исклучува сервисна сметка и задача пред најава. Врската исто така наследува сето она што акредитивите на тој корисник можат да достигнат на серверот. Читајте го прекинувачот како изјава за тоа од каде доаѓа акредитивот, а не како безбедносна поставка. Тој го менува изворот и ништо во тоа како серверот потоа ја авторизира сесијата.

Автентикацијата со сертификат се масштабира затоа што ништо не се чува

Каде серверот поддржува EAP-TLS, сертификатот на машината целосно ја отстранува споделената тајна, а отповикувањето се случува на слојот на сертификатот. Задача што работи како SYSTEM може да го претстави тој сертификат без интерактивна најава. Потврдете дека серверот прифаќа автентикација со сертификат пред да градите врз неа. Дизајн што зависи од неподдржан метод е план, а не решение. Потоа одлучете каде живее приватниот клуч: складиштето на машината за идентитет на уред, складиштето на корисникот за лице.

Каде корисничкото име и лозинката не можат да се избегнат, чувајте ги во Credential Manager ограничени на сопствената сметка на задачата. Дозволете клиентот да ги чита оттаму наместо од аргумент. Тајна што задачата може да ја добие без да ја испечати е помал проблем од онаа запишана во нејзината дефиниција.

Прегледајте ги артефактите пред следната ротација

Гледајте што е зачувано, а не што сте намеравале. Проверете го телефонскиот именик по корисник, копијата за сите корисници, XML-от на задачата и секоја скрипта што ја повикува командата за бирање. Потоа потврдете дека сертификатот или кешираните акредитиви се ограничени на сметката што ја користи задачата, бидејќи акредитивите зачувани за вашата интерактивна сметка се невидливи за SYSTEM.

Запишете го методот на автентикација и сметката во белешките на самата задача. Следното лице што ќе ја промени политиката на серверот треба да знае кој дизајн е во игра. Тој одговор не се гледа само од однесувањето при повторно поврзување. Запишете го таму каде следната ротација прво ќе погледне.