Visual Studio یوازې VPN کې ورو؟ CRL او OCSP وګورئ

Visual Studio په کور کې نورمال پیل کیږي، بیا هماغه لیپټاپ شرکت تونل ته نښلول کیږي او هر پیل نیم دقیقه د پیل په سکرین ولاړ وي۔ تګلاره لرې کړئ نو ځنډ هم ورسره ځي؛ تونل لرې کړئ نو هماغه پیښیږي۔ دواړه مشاهدې سمې دي، نو ځکه دواړه برخې یو بل تورنوي۔ فیصله کوونکې پوښتنه دا ده چې آیا د سند لغوه کولو پوښتنه د هغې لارې انتظار کوي چې یوازې تونل یې برابروي، که هېڅ لاره نه مومي۔

پیل نه، د اخیستلو وخت اندازه کړئ

یوه WDAC تګلاره, چې د لاسلیک شوي SiPolicy.p7b په توګه ځای پرځای شوې، پر ماشین کوم عکسونه کولی شي چل شي دا ټاکي۔ د کوډ بشپړتیا د اجرا کولو دمخه د عکس د لاسلیکونو سلسله تصدیقوي، او په دې تصدیق کې د لغوه کولو پوښتنه هم شامله کېدای شي۔ ځواب د CRL د ویش نقطې یا OCSP ځواب ورکوونکي پورې اړه لري چې سند یې په خپل منځ کې نوموي۔

دا نورمالې شبکې غوښتنې دي، نو لګښت یې په دې پورې اړه لري چې ځواب ورکوونکی چېرې دی۔ کله چې یوازې د تونل له لارې ورته رسیدل ممکن وي، یا د هغه نوم یوازې د تونل شاته DNS سرور له لارې حل کیږي, تصدیق انتظار کوي چې تونل چمتو شي۔ Visual Studio د پیل پر مهال ډېر شمېر لاسلیک شوي اسمبلۍ او غځونې باروي، او د هر عکس لږ ځنډ د لیدلو وړ تمځای کیږي۔ هېڅ شی خراب نه دی او تګلاره سمه هماغسې چلند کوي لکه څنګه چې تنظیم شوې، نو ځکه د تګلارې لرې کول د ستونزې حل لکه څنګه ښکاري۔

هر لاسلیک شوی عکس کولی شي شبکه يي زنګ پیل کړي

له هغې لاسلیک شوې بائنري فایل سره پیل کړئ چې مخکې له مخکې په ډیسک کې دی او پلیټفارم ته ووایاست چې هغه د پیل هماغه د اخیستلو چلند سره تصدیق کړي۔ امر یو ځل پر تونل او یو ځل له هغې بهر چل کړئ، بیا د وروستي حکم پر ځای د اخیستلو کرښې پرتله کړئ۔

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

پایله سلسله، د CRL او OCSP پته او دا چې هر اخیستل بریالی شو که نه لیستوي۔ کوم ځواب ورکوونکی چې پر تونل وخت تیروي او بهر ځواب ورکوي، هغه هغه شاهد دی چې تاسو ته اړتیا ده، او دا د وروالي احساس څخه ډېر درانه وزن لري۔ که اخیستل ورو بریالي شي، پته ولیکئ ترڅو بل ګام هغه کوربه مستقیم وازموي۔

د ځواب ورکوونکي د کوربه نوم حل کړئ او د اپلیکیشن څخه بهر لاسرسی وازموئ، ځکه هغه نوم چې حل نه شي هېڅ کلاینټ تنظیم یې هیڅکله نه سمولای شي۔ د CodeIntegrity عملیاتي لاګ د شاهد بل نیمګړی برخه برابروي، د تصدیق پیښه د ورو پیل د وخت نښې سره نښلوي۔

پرته له دې چې کنټرول لرې کړئ ځنډ کم کړئ

تګلاره ناچاره کول یا د تفتیش حالت ته وړل ځنډ له منځه وړي او هغه کنټرول لرې کوي چې سازمان ځای پرځای کړی، نو دا غلط ترمیم وګڼئ۔ تنګ انتخابونه دا دي: د لارښوونې بدلون ترڅو ځواب ورکوونکی د تونل له لارې لاسرسی ولري، د ځواب ورکوونکي کوربه لپاره د ویشل شوي تونل استثنا، کله چې نوم نا رسېدونکې پتې ته حل شي د DNS سمون، یا د لغوه کولو معلوماتو لپاره ملاتړ شوی کیش پروکسي۔ هره یوه خپل مالک لري: PKI ټیم د ځواب ورکوونکي لاسرسي، شبکه ټیم د تونل ویش او پای ټکي ټیم تګلاره لري۔

هر د لغوه کولو کوربه له تونل څخه ایستل په اتوماتيک ډول خوندي نه دي، ځکه داخلي ځواب ورکوونکی کېدای شي په قصد داخلي وي۔ د سندونو تفتیشونه په غلې چوپتيا عامه انټرنیټ ته لېږونکې قاعده لیکلو دمخه د PKI چلوونکي ټیم سره استثنا تصدیق کړئ۔ پرته له دې تصدیق څخه شوې بدلون هغه ډول دی چې په راتلونکې تګلارې تازه کېدو کې بیرته اخیستل کیږي۔

د بدلون وروسته سړه پیل تصدیق کړئ

په دواړو حالتونو کې سړه پیل اندازه کړئ او شمېرې وساتئ، ځکه ګرم پیل نږدې هېڅ نه ثابتوي کله چې اسمبلۍ په کیش کې وي۔ له نوي غونډې څخه پیل تکرار کړئ ترڅو د غځونو د بارولو لاره بیا وازمویل شي۔

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

ترمیم شوې تنظیم بیا هم ځواب ورکوونکي سره اړیکه نیسي، یا هغه کیش لاره کاروي چې ستاسو PKI ټیم تصویب کړې، او لاګ ښیي چې تصدیق بشپړیږي نه دا چې وخت تیریږي۔ تصدیق کړئ چې نوي لاسلیک شوی اپلیکیشن بیا هم پیل کیږي، ځکه هغه تګلاره چې هر څه ته اجازه ورکوي بریالی ترمیم نه دی۔ فعاله تګلاره فولډر او د تطبیق حالت هم وګورئ، ترڅو معلومه وي چې تاسو څه خرابیږدو هغه تګلاره روانه ده۔ د سند سلسله، د ځواب ورکوونکي پته او د پیل وخت نښې په یوه ټیکټ کې وساتئ، ځکه نوي کول معمولا ځواب ورکوونکی ځای په ځای کوي او استثنا یا DNS قاعده زړه پاتې کیږي۔