Kople til Windows-VPN på nytt utan å leggje passordet i oppgåva

Kvar oppskrift for uovervaka gjenoppkopling endar til slutt på det same spørsmålet: kvar bur passordet. Det populære svaret er sjølve oppgåvehandlinga, som også er den verste staden for det. To andre design finst. Kva som passar avheng av om maskina kan autentisere utan ein person og om serveren godtek sertifikat.

Kva ei oppgåvehandling let vere lesbart

Argument i ei planlagd oppgåve er ein del av definisjonen, ikkje ein skjult køyretidsverdi. Alle som kan lese oppgåva, gjenopprette ein tryggingskopi av ho eller eksportere XML-en, ser strengen nøyaktig slik du skreiv han. Under ei køyring viser den same strengen seg i prosesslista. Ein overvakingsagent kan kopiere han til ein logg du aldri går gjennom.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Kontroller før du legg det motsette til grunn. Den første kommandoen skriv ut heile definisjonen, inkludert handlinga og argumenta. Den andre viser kva legitimasjon den gjeldande kontoen har bufra, noko som er viktig for dei alternative designa nedanfor. Viss passordet viser seg i XML-en til oppgåva, er rotasjon berre halve reparasjonen, fordi oppgåva framleis held den gamle verdien.

Kva ein lagra førehandsdelt nøkkel eigentleg gir

Add-VpnConnection -L2tpPsk skriv nøkkelen inn i telefonbokoppføringa til tilkoplinga i staden for i ei oppgåve. Det er ei mindre eksponeringsflate enn ei oppgåvehandling. Det er framleis ein løyndom som kan gjenopprettast, fordi ein administrator på maskina kan lese telefonboka.

For ei laboratoriekopling mellom to maskiner du kontrollerer, kan den utvekslinga vere akseptabel. For ein brukarlegitimasjon på eit delt endepunkt er han ikkje det. Å kalle det kryptert lagring endrar ikkje kven som kan lese det. Telefonboka er ei konfigurasjonsfil. Planlegg for personen som kan opne ho, ikkje berre for personen som kan logge på som brukaren.

Winlogon-legitimasjon fjernar løyndomen og legg til ein avhengnad

-UseWinlogonCredential tek ein annan veg. Tilkoplinga autentiserer med MSCHAPv2 mot legitimasjonen til den pålogga brukaren. Ingenting ekstra blir lagra for den kontoen.

Avhengnaden han legg til er betydeleg. Det må finnast ei interaktiv pålogging å låne frå, noko som utelukkar ein tenestekonto og ei oppgåve før pålogging. Tilkoplinga arvar også alt legitimasjonen til den brukaren kan nå på serveren. Les brytaren som ei utsegn om kvar legitimasjonen kjem frå, ikkje som ei tryggingsinnstilling. Han endrar kjelda, og ingenting ved korleis serveren autoriserer økta etterpå.

Sertifikatautentisering skalerer fordi ingenting blir lagra

Der serveren støttar EAP-TLS, fjernar eit maskinseritifikat den delte løyndomen heilt, og tilbakekalling skjer på sertifikatlaget. Ei oppgåve som køyrer som SYSTEM kan presentere det sertifikatet utan interaktiv pålogging. Stadfest at serveren godtek sertifikatautentisering før du byggjer på det. Eit design som er avhengig av ein metode som ikkje er støtta, er ein plan snarare enn ei løysing. Avgjer deretter kvar den private nøkkelen bur: maskinlageret for ein einingidentitet, brukarlageret for ein person.

Der brukarnamn og passord ikkje kan unnast, lagre dei i Credential Manager avgrensa til den eigne kontoen til oppgåva. Lat klienten lese dei derifrå i staden for frå eit argument. Ein løyndom som oppgåva kan hente utan å skrive han ut, er eit mindre problem enn ein som er skriven inn i definisjonen.

Gå gjennom artefaktane før neste rotasjon

Sjå på kva som er lagra i staden for kva du hadde tenkt. Kontroller telefonboka per brukar, kopien for alle brukarar, XML-en til oppgåva og eitkvart skript som kallar oppringingskommandoen. Stadfest deretter at sertifikatet eller den bufra legitimasjonen er avgrensa til kontoen oppgåva brukar, fordi legitimasjon lagra for din interaktive konto er usynleg for SYSTEM.

Noter autentiseringsmetoden og kontoen i notata til oppgåva sjølv. Den neste personen som endrar retningslinjene til serveren, må vite kva design som er i spel. Det svaret er ikkje synleg berre frå gjenoppkoplingsåtferda. Skriv det der den neste rotasjonen vil sjå først.