Visual Studio VPN එකේදී පමණක් මන්දගාමීද? CRL සහ OCSP පරීක්ෂා කරන්න

WDAC ප්‍රතිපත්තියක් බලාත්මක වන විට, එක් මන්දගාමී ආරම්භයක් ටනලය නොව අවලංගු කිරීමේ විමසුමක් විය හැක. ප්‍රතිපත්තිය ලිහිල් කිරීමට පෙර කුමන පියවර අවහිර කරන්නේදැයි ඔප්පු කරන්න.

Visual Studio නිවසේදී සාමාන්‍ය ලෙස ආරම්භ වේ, පසුව එම ලැප්ටොප් පරිගණකය කෝපරේට් ටනලයට සම්බන්ධ වන අතර සෑම ආරම්භයක්ම තත්පර තිහක් ආරම්භක තිරයේ රැඳී තිබේ. ප්‍රතිපත්තිය ඉවත් කරන්න, ප්‍රමාදයද එය සමඟ යයි; ටනලය ඉවත් කරන්න, එම දේම සිදු වේ. දෙකම නිරීක්ෂණ නිවැරදි ය, එබැවින් දෙකොටසක් නිතර එකිනෙකාට දොස් පවරයි. තීරණාත්මක ප්‍රශ්නය වන්නේ සහතිකයක අවලංගු කිරීමේ විමසුම ටනලය පමණක් සපයන මාර්ගයක් එනතුරු බලා සිටීද, නැත්නම් කිසිම මාර්ගයක් සොයා නොගනීද යන්නයි.

ආරම්භය නොව ලබාගැනීම මැන බලන්න

එක් WDAC ප්‍රතිපත්තියක්, අත්සන් කළ SiPolicy.p7b ලෙස යොදවා, යන්ත්‍රයේ කුමන රූප ක්‍රියාත්මක විය හැකිද යන්න තීරණය කරයි. කේත අඛණ්ඩතාව ක්‍රියාත්මක කිරීමට පෙර රූපයක අත්සන් දාමය වලංගු කරයි, එම වලංගු කිරීමට අවලංගු කිරීමේ ප්‍රශ්නයක් ඇතුළත් විය හැක. පිළිතුර රඳා පවතින්නේ සහතිකය තම තුළ නම් කරන CRL බෙදාහැරීමේ ලක්ෂ්‍යය හෝ OCSP ප්‍රතිචාරකය මත ය.

මේවා සාමාන්‍ය ජාල ඉල්ලීම් බැවින් ඒවායේ පිරිවැය රඳා පවතින්නේ ප්‍රතිචාරකය සිටින තැන මත ය. එය ටනලය හරහා පමණක් ළඟා විය හැකි විට, හෝ එහි නම ටනලය පිටුපස ඇති DNS සේවාදායකය හරහා පමණක් විසඳෙන විට, වලංගු කිරීම ටනලය සූදානම් වන තෙක් බලා සිටී. Visual Studio ආරම්භයේදී විශාල අත්සන් කළ එකලස් කිරීම් සහ දිගු ප්‍රමාණයක් පූරණය කරයි, සහ එක් එක් රූපයට කුඩා ප්‍රමාදයක් දෘශ්‍යමාන නැවතීමක් බවට පත් වේ. කිසිවක් විකෘති නොවී ඇති අතර ප්‍රතිපත්තිය වින්‍යාස කළ පරිදිම හැසිරේ, එබැවින් ප්‍රතිපත්තිය ඉවත් කිරීම ගැටලුව විසඳන බව පෙනේ.

අත්සන් කළ සෑම රූපයක්ම ජාල ඇමතුමක් අවුලුවාලිය හැක

දැනටමත් තැටියේ ඇති අත්සන් කළ ද්විමය ගොනුවකින් ආරම්භ කර, ආරම්භය භාවිතා කරන එම ලබාගැනීමේ හැසිරීම සමඟ එය සත්‍යාපනය කරන ලෙස වේදිකාවට කියන්න. විධානය එක් වරක් ටනලයේ සහ එක් වරක් ඉන් පිටත ධාවනය කර, පසුව අවසාන තීන්දුව වෙනුවට ලබාගැනීමේ පේළි සසඳන්න.

certutil -verify -urlfetch C:\Tools\Contoso.Editor.dll
nslookup ocsp.contoso.example
Test-NetConnection ocsp.contoso.example -Port 80

ප්‍රතිදානය දාමය, CRL සහ OCSP ලිපින සහ සෑම ලබාගැනීමක්ම සාර්ථක වූයේද යන්න ලැයිස්තුගත කරයි. ටනලයේ කාලය ඉකුත් වී පිටතින් පිළිතුරු දෙන ප්‍රතිචාරකය ඔබට අවශ්‍ය සාක්ෂිය වන අතර, එය මන්දගාමී බවේ හැඟීමට වඩා බොහෝ බරය. ලබාගැනීම සෙමින් සාර්ථක වුවහොත්, ඊළඟ පියවරට එම සත්කාරකය සෘජුව පරීක්ෂා කිරීමට ලිපිනය සටහන් කරන්න.

ප්‍රතිචාරකයේ සත්කාරක නාමය විසඳා යෙදුමෙන් පිටත ළඟාවීමේ හැකියාව පරීක්ෂා කරන්න, මන්ද විසඳෙන නාමයක් කිසිදු සේවාලාභී සැකසුමකින් කිසිදා අලුත්වැඩියා නොවේ. CodeIntegrity මෙහෙයුම් ලොගය සාක්ෂියේ අනෙක් අඩක් සපයමින්, සත්‍යාපන සිදුවීම මන්දගාමී ආරම්භයේ කාල මුද්‍රාව සමඟ සම්බන්ධ කරයි.

පාලනය ඉවත් නොකර ප්‍රමාදය අඩු කරන්න

ප්‍රතිපත්තිය අබල කිරීම හෝ විගණන මාදිලියට මාරු කිරීම ප්‍රමාදය අතුරුදහන් කර සංවිධානය යෙදවූ පාලනය ඉවත් කරයි, එබැවින් එය වැරදි අලුත්වැඩියාව ලෙස සලකන්න. පටු විකල්ප නම් ප්‍රතිචාරකය ටනලය හරහා ළඟා විය හැකි වන පරිදි මාර්ගකරණ වෙනසක්, ප්‍රතිචාරක සත්කාරක සඳහා බෙදුණු ටනලයේ ව්‍යතිරේකයක්, නාමය ළඟා නොවන ලිපිනයකට විසඳෙන විට DNS නිවැරදි කිරීමක්, හෝ අවලංගු කිරීමේ දත්ත සඳහා ආධාරක කෑෂිං නියෝජිතයෙකි. එක් එක් අයට වෙනස් හිමිකරුවෙකි: PKI කණ්ඩායම ප්‍රතිචාරකයේ ළඟාවීම, ජාල කණ්ඩායම ටනලයේ බෙදීම සහ අන්ත ලක්ෂ්‍ය කණ්ඩායම ප්‍රතිපත්තිය හිමිකර ගනී.

සෑම අවලංගු කිරීමේ සත්කාරකයක්ම ටනලයෙන් බැහැර කිරීම ස්වයංක්‍රීයව ආරක්ෂිත නොවේ, මන්ද අභ්‍යන්තර ප්‍රතිචාරකයක් හිතාමතා අභ්‍යන්තර විය හැක. සහතික පරීක්ෂණ නිහඬව පොදු අන්තර්ජාලයට යවන රීතියක් ලිවීමට පෙර PKI පවත්වන කණ්ඩායම සමඟ ව්‍යතිරේකය තහවුරු කරන්න. එම තහවුරු කිරීමකින් තොරව කළ වෙනස ඊළඟ ප්‍රතිපත්ති නැවුම් කිරීමේදී පසුපසට ගන්නා ආකාරයේ එකකි.

වෙනසෙන් පසු සීතල ආරම්භයක් සත්‍යාපනය කරන්න

අවස්ථා දෙකේදීම සීතල ආරම්භයක් මැන අංක තබා ගන්න, මන්ද එකලස් කිරීම් කෑෂ් වූ පසු උණුසුම් ආරම්භයක් පාහේ කිසිවක් ඔප්පු නොකරයි. නව සැසියකින් ආරම්භය නැවත කරන්න, එවිට දිගු පූරණ මාර්ගය නැවත අභ්‍යාස වේ.

Get-WinEvent -LogName Microsoft-Windows-CodeIntegrity/Operational -MaxEvents 40 |
  Where-Object { $_.TimeCreated -gt (Get-Date).AddMinutes(-10) }
Get-ChildItem C:\Windows\System32\CodeIntegrity\CiPolicies\Active
Get-CimInstance -ClassName Win32_DeviceGuard -Namespace root\Microsoft\Windows\DeviceGuard

අලුත්වැඩියා කළ වින්‍යාසය තවදුරටත් ප්‍රතිචාරකය සමඟ සම්බන්ධ වේ, හෝ ඔබේ PKI කණ්ඩායම අනුමත කළ කෑෂ් මාර්ගයක් භාවිතා කරයි, සහ ලොගය පෙන්වන්නේ සත්‍යාපනය කාලය ඉකුත් වීම වෙනුවට සම්පූර්ණ වන බවයි. මෑතකදී අත්සන් කළ යෙදුමක් තවදුරටත් ආරම්භ වන බව තහවුරු කරන්න, මන්ද සියල්ලට ඉඩ දෙන ප්‍රතිපත්තියක් සාර්ථක අලුත්වැඩියාවක් නොවේ. සක්‍රීය ප්‍රතිපත්ති ෆෝල්ඩරය සහ බලාත්මක කිරීමේ තත්ත්වයද පරීක්ෂා කරන්න, එවිට ඔබ දෝෂ නිරාකරණය කරන ප්‍රතිපත්තිය ක්‍රියාත්මක වන්නේ එයම බව දැනගත හැක. සහතික දාමය, ප්‍රතිචාරකයේ ලිපිනය සහ ආරම්භයේ කාල මුද්‍රා එකම ටිකට්පතේ තබා ගන්න, මන්ද අලුත් කිරීම සාමාන්‍යයෙන් ප්‍රතිචාරකය ගෙන ගොස් ව්‍යතිරේක හෝ DNS රීතිය යල්පැන ගිය ලෙස තබයි.

අදාළ ලිපි