Visual Studio VPN-ൽ മാത്രം വേഗത കുറവാണോ? CRL, OCSP പരിശോധിക്കുക

Visual Studio വീട്ടിൽ സാധാരണയായി ആരംഭിക്കുന്നു, പിന്നീട് അതേ ലാപ്ടോപ്പ് കോർപ്പറേറ്റ് ടണലിൽ ചേരുന്നു, ഓരോ സമാരംഭവും അര മിനിറ്റ് സ്പ്ലാഷ് സ്ക്രീനിൽ നിൽക്കുന്നു. നയം നീക്കിയാൽ കാലതാമസവും അതിനൊപ്പം പോകുന്നു; ടണൽ നീക്കിയാൽ അതേ കാര്യം സംഭവിക്കുന്നു. രണ്ട് നിരീക്ഷണങ്ങളും കൃത്യമാണ്, അതിനാൽ രണ്ട് ഘടകങ്ങളും പരസ്പരം കുറ്റപ്പെടുത്തിക്കൊണ്ടിരിക്കുന്നു. നിർണായക ചോദ്യം, സർട്ടിഫിക്കറ്റ് റദ്ദാക്കൽ അന്വേഷണം ടണൽ മാത്രം നൽകുന്ന പാതയ്ക്കായി കാത്തിരിക്കുന്നുവോ, അതല്ലെങ്കിൽ ഒരു പാതയും കണ്ടെത്തുന്നില്ലയോ എന്നതാണ്.

സമാരംഭമല്ല, ഫെച്ച് സമയം അളക്കുക

ഒരു WDAC നയം, സൈൻ ചെയ്ത SiPolicy.p7b എന്ന രീതിയിൽ വിന്യസിച്ച്, യന്ത്രത്തിൽ ഏത് ഇമേജുകൾ പ്രവർത്തിക്കാം എന്ന് തീരുമാനിക്കുന്നു. കോഡ് അഖണ്ഡത എക്സിക്യൂഷന് മുമ്പ് ഇമേജിന്റെ സിഗ്നേച്ചർ ശൃംഖല സാധൂകരിക്കുന്നു, ആ സാധൂകരണത്തിൽ റദ്ദാക്കൽ ചോദ്യം ഉൾപ്പെടാം. ഉത്തരം സർട്ടിഫിക്കറ്റ് തന്നിൽ പേരിടുന്ന CRL വിതരണ പോയിന്റിനെയോ OCSP പ്രതികരണക്കാരനെയോ ആശ്രയിച്ചിരിക്കുന്നു.

ഇവ സാധാരണ നെറ്റ്‌വർക്ക് അഭ്യർത്ഥനകളാണ്, അതിനാൽ അവയുടെ ചെലവ് പ്രതികരണക്കാരൻ എവിടെയാണെന്നതിനെ ആശ്രയിച്ചിരിക്കുന്നു. ടണൽ വഴി മാത്രം ലഭ്യമാകുമ്പോൾ, അല്ലെങ്കിൽ അതിന്റെ പേര് ടണലിന് പിന്നിലെ DNS സെർവർ വഴി മാത്രം പരിഹരിക്കുമ്പോൾ, സാധൂകരണം ടണൽ തയ്യാറാകുന്നതുവരെ കാത്തിരിക്കുന്നു. Visual Studio സമാരംഭത്തിൽ ധാരാളം സൈൻ ചെയ്ത അസംബ്ലികളും എക്സ്റ്റൻഷനുകളും ലോഡ് ചെയ്യുന്നു, ഓരോ ഇമേജിനും ചെറിയ കാലതാമസം ദൃശ്യമായ തടസ്സമാകുന്നു. ഒന്നും വികലമല്ല, നയം കോൺഫിഗർ ചെയ്തതുപോലെ പ്രവർത്തിക്കുന്നു, അതിനാൽ നയം നീക്കുന്നത് പ്രശ്നം പരിഹരിച്ചതായി തോന്നുന്നു.

സൈൻ ചെയ്ത ഓരോ ഇമേജും നെറ്റ്‌വർക്ക് കോൾ ഉണ്ടാക്കാം

ഡിസ്കിൽ ഇതിനകം ഉള്ള സൈൻ ചെയ്ത ബൈനറിയിൽ നിന്ന് ആരംഭിക്കുക, സമാരംഭം ഉപയോഗിക്കുന്ന അതേ ഫെച്ച് സ്വഭാവത്തോടെ അത് പരിശോധിക്കാൻ പ്ലാറ്റ്ഫോമിനോട് ആവശ്യപ്പെടുക. കമാൻഡ് ഒരിക്കൽ ടണലിലും ഒരിക്കൽ അതിന് പുറത്തും പ്രവർത്തിപ്പിക്കുക, പിന്നീട് അന്തിമ വിധിക്ക് പകരം ഫെച്ച് വരികൾ താരതമ്യം ചെയ്യുക.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

ഔട്ട്പുട്ട് ശൃംഖലയും CRL, OCSP വിലാസങ്ങളും ഓരോ ഫെച്ചും വിജയിച്ചോ എന്നതും പട്ടികപ്പെടുത്തുന്നു. ടണലിൽ സമയം കഴിയുകയും പുറത്ത് ഉത്തരം നൽകുകയും ചെയ്യുന്ന പ്രതികരണക്കാരനാണ് നിങ്ങൾക്ക് ആവശ്യമായ തെളിവ്, അത് മന്ദതയുടെ തോന്നലിനെക്കാൾ ഏറെ ഭാരമുള്ളതാണ്. ഫെച്ച് സാവധാനം വിജയിക്കുകയാണെങ്കിൽ, അടുത്ത ഘട്ടത്തിന് ആ ഹോസ്റ്റ് നേരിട്ട് പരിശോധിക്കാൻ വിലാസം കുറിച്ചുവയ്ക്കുക.

പ്രതികരണക്കാരന്റെ ഹോസ്റ്റ് നാമം പരിഹരിക്കുക, ആപ്ലിക്കേഷന് പുറത്ത് ലഭ്യത പരിശോധിക്കുക, കാരണം പരിഹരിക്കാനാകാത്ത പേര് ഒരു ക്ലൈന്റ് ക്രമീകരണവും ഒരിക്കലും ശരിയാക്കില്ല. CodeIntegrity പ്രവർത്തന ലോഗ് തെളിവിന്റെ മറ്റേ പകുതി നൽകുന്നു, സാധൂകരണ സംഭവത്തെ മന്ദമായ സമാരംഭത്തിന്റെ ടൈംസ്റ്റാമ്പുമായി ബന്ധിപ്പിക്കുന്നു.

നിയന്ത്രണം നീക്കാതെ കാലതാമസം കുറയ്ക്കുക

നയം പ്രവർത്തനരഹിതമാക്കുന്നതോ ഓഡിറ്റ് മോഡിലേക്ക് മാറ്റുന്നതോ കാലതാമസം ഇല്ലാതാക്കുകയും സംഘടന വിന്യസിച്ച നിയന്ത്രണം നീക്കുകയും ചെയ്യുന്നു, അതിനാൽ അതിനെ തെറ്റായ അറ്റകുറ്റപ്പണിയായി കാണുക. കൂടുതൽ ഇടുങ്ങിയ ഓപ്ഷനുകൾ: പ്രതികരണക്കാരൻ ടണൽ വഴി ലഭ്യമാകാൻ റൂട്ടിംഗ് മാറ്റം, പ്രതികരണക്കാരന്റെ ഹോസ്റ്റുകൾക്ക് സ്പ്ലിറ്റ് ടണലിലെ ഒഴിവാക്കൽ, പേര് എത്തിച്ചേരാനാകാത്ത വിലാസത്തിലേക്ക് പരിഹരിക്കുമ്പോൾ DNS തിരുത്തൽ, അല്ലെങ്കിൽ റദ്ദാക്കൽ ഡാറ്റയ്ക്ക് പിന്തുണയുള്ള കാഷിംഗ് പ്രോക്സി. ഓരോന്നിനും വ്യത്യസ്ത ഉടമയുണ്ട്: PKI ടീം പ്രതികരണക്കാരന്റെ ലഭ്യതയും, നെറ്റ്‌വർക്ക് ടീം ടണൽ വിഭജനവും, എൻഡ്പോയിന്റ് ടീം നയവും കൈകാര്യം ചെയ്യുന്നു.

ഓരോ റദ്ദാക്കൽ ഹോസ്റ്റും ടണലിൽ നിന്ന് ഒഴിവാക്കുന്നത് സ്വയമേവ സുരക്ഷിതമല്ല, കാരണം ആന്തരിക പ്രതികരണക്കാരൻ ബോധപൂർവം ആന്തരികമായിരിക്കാം. സർട്ടിഫിക്കറ്റ് പരിശോധനകൾ നിശബ്ദമായി പൊതു ഇന്റർനെറ്റിലേക്ക് അയക്കുന്ന ഒരു നിയമം എഴുതുന്നതിന് മുമ്പ് PKI നടത്തുന്ന ടീമുമായി ഒഴിവാക്കൽ സ്ഥിരീകരിക്കുക. ആ സ്ഥിരീകരണമില്ലാതെ ചെയ്യുന്ന മാറ്റം അടുത്ത നയ പുതുക്കലിൽ പിൻവലിക്കപ്പെടുന്ന തരത്തിലുള്ളതാണ്.

മാറ്റത്തിന് ശേഷം കോൾഡ് സ്റ്റാർട്ട് പരിശോധിക്കുക

രണ്ട് അവസ്ഥകളിലും കോൾഡ് സ്റ്റാർട്ട് അളക്കുക, സംഖ്യകൾ സൂക്ഷിക്കുക, കാരണം അസംബ്ലികൾ കാഷ് ചെയ്തതിന് ശേഷം വാം സ്റ്റാർട്ട് ഏതാണ്ട് ഒന്നും തെളിയിക്കുന്നില്ല. പുതിയ സെഷനിൽ നിന്ന് സമാരംഭം ആവർത്തിക്കുക, എക്സ്റ്റൻഷനുകളുടെ ലോഡിംഗ് പാത വീണ്ടും പ്രവർത്തിക്കാൻ.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

നന്നാക്കിയ കോൺഫിഗറേഷൻ ഇപ്പോഴും പ്രതികരണക്കാരനുമായി ബന്ധപ്പെടുന്നു, അല്ലെങ്കിൽ നിങ്ങളുടെ PKI ടീം അംഗീകരിച്ച കാഷ് പാത ഉപയോഗിക്കുന്നു, സാധൂകരണം സമയം കഴിയുന്നതിന് പകരം പൂർത്തിയാകുന്നതായി ലോഗ് കാണിക്കുന്നു. അടുത്തിടെ സൈൻ ചെയ്ത ഒരു ആപ്ലിക്കേഷൻ ഇപ്പോഴും ആരംഭിക്കുന്നുവെന്ന് സ്ഥിരീകരിക്കുക, എല്ലാം അനുവദിക്കുന്ന നയം വിജയകരമായ അറ്റകുറ്റപ്പണിയല്ല. സജീവ നയ ഫോൾഡറും പ്രയോഗ അവസ്ഥയും പരിശോധിക്കുക, നിങ്ങൾ ഡീബഗ് ചെയ്യുന്ന നയം തന്നെയാണ് പ്രവർത്തിക്കുന്നതെന്ന് അറിയാൻ. സർട്ടിഫിക്കറ്റ് ശൃംഖല, പ്രതികരണക്കാരന്റെ വിലാസം, സമാരംഭത്തിന്റെ ടൈംസ്റ്റാമ്പുകൾ എന്നിവ ഒരേ ടിക്കറ്റിൽ സൂക്ഷിക്കുക, കാരണം പുതുക്കൽ സാധാരണയായി പ്രതികരണക്കാരനെ നീക്കുകയും ഒഴിവാക്കൽ അല്ലെങ്കിൽ DNS നിയമം പഴയതാക്കി വിടുകയും ചെയ്യുന്നു.