Sambung semula VPN Windows tanpa meletakkan kata laluan dalam tugas

Setiap resipi sambungan semula tanpa pengawasan akhirnya bertemu soalan yang sama: di mana kata laluan tinggal. Jawapan popular ialah tindakan tugas itu sendiri, yang juga tempat paling teruk untuknya. Terdapat dua reka bentuk lain. Yang mana sesuai bergantung pada sama ada mesin boleh mengesahkan tanpa orang dan sama ada pelayan menerima sijil.

Apa yang tindakan tugas tinggalkan boleh dibaca

Argumen dalam tugas berjadual adalah sebahagian daripada definisinya, bukan nilai masa jalan tersembunyi. Sesiapa yang boleh membaca tugas, memulihkan sandarannya atau mengeksport XML-nya melihat rentetan itu tepat seperti yang anda taip. Semasa larian, rentetan yang sama muncul dalam senarai proses. Ejen pemantauan mungkin menyalinnya ke log yang anda tidak pernah semak.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Semak sebelum anda menganggap sebaliknya. Perintah pertama mencetak definisi penuh, termasuk tindakan dan argumennya. Yang kedua menunjukkan kelayakan mana yang telah dicache oleh akaun semasa, yang penting untuk reka bentuk alternatif di bawah. Jika kata laluan muncul dalam XML tugas, memutarkannya hanyalah separuh pembaikan, kerana tugas itu masih memegang nilai lama.

Apa yang sebenarnya dibeli oleh kunci pra-kongsi yang disimpan

Add-VpnConnection -L2tpPsk menulis kunci ke dalam entri buku telefon sambungan dan bukannya ke dalam tugas. Itu permukaan pendedahan yang lebih kecil daripada tindakan tugas. Ia masih rahsia yang boleh dipulihkan, kerana pentadbir pada mesin boleh membaca buku telefon.

Untuk pautan makmal antara dua mesin yang anda kawal, pertukaran itu mungkin boleh diterima. Untuk kelayakan pengguna pada titik akhir dikongsi, ia tidak. Menyebutnya storan disulitkan tidak mengubah siapa yang boleh membacanya. Buku telefon ialah fail konfigurasi. Rancang untuk orang yang boleh membukanya, bukan hanya untuk orang yang boleh log masuk sebagai pengguna.

Kelayakan Winlogon membuang rahsia dan menambah kebergantungan

-UseWinlogonCredential mengambil laluan berbeza. Sambungan mengesahkan dengan MSCHAPv2 terhadap kelayakan pengguna yang log masuk. Tiada apa-apa tambahan disimpan untuk akaun itu.

Kebergantungan yang ditambahnya adalah penting. Mesti ada log masuk interaktif untuk dipinjam, yang mengecualikan akaun perkhidmatan dan tugas sebelum log masuk. Sambungan itu juga mewarisi segala yang boleh dicapai oleh kelayakan pengguna itu pada pelayan. Baca suis itu sebagai kenyataan tentang dari mana kelayakan datang, bukan sebagai tetapan keselamatan. Ia mengubah sumber, dan tiada apa-apa tentang cara pelayan membenarkan sesi selepas itu.

Pengesahan sijil berskala kerana tiada apa yang disimpan

Di mana pelayan menyokong EAP-TLS, sijil mesin membuang rahsia kongsi sepenuhnya, dan pembatalan berlaku pada lapisan sijil. Tugas yang berjalan sebagai SYSTEM boleh mengemukakan sijil itu tanpa log masuk interaktif. Sahkan bahawa pelayan menerima pengesahan sijil sebelum membina di atasnya. Reka bentuk yang bergantung pada kaedah tidak disokong ialah pelan, bukan penyelesaian. Kemudian tentukan di mana kunci peribadi tinggal: stor mesin untuk identiti peranti, stor pengguna untuk seseorang.

Di mana nama pengguna dan kata laluan tidak dapat dielakkan, simpannya dalam Credential Manager yang diskopkan kepada akaun tugas itu sendiri. Biarkan klien membacanya dari sana dan bukannya daripada argumen. Rahsia yang tugas boleh dapatkan tanpa mencetaknya ialah masalah yang lebih kecil daripada yang ditulis dalam definisinya.

Semak artifak sebelum putaran seterusnya

Lihat apa yang disimpan dan bukan apa yang anda maksudkan. Semak buku telefon setiap pengguna, salinan untuk semua pengguna, XML tugas dan mana-mana skrip yang memanggil perintah dail. Kemudian sahkan bahawa sijil atau kelayakan yang dicache adalah terhad kepada akaun yang digunakan oleh tugas itu, kerana kelayakan yang disimpan untuk akaun interaktif anda tidak kelihatan kepada SYSTEM.

Catat kaedah pengesahan dan akaun dalam nota tugas itu sendiri. Orang seterusnya yang mengubah dasar pelayan perlu tahu reka bentuk mana yang sedang digunakan. Jawapan itu tidak kelihatan hanya daripada tingkah laku sambungan semula. Tuliskannya di tempat putaran seterusnya akan melihat dahulu.