Opätovné pripojenie k Windows VPN bez hesla v úlohe

Každý recept na bezobslužné opätovné pripojenie skôr či neskôr narazí na tú istú otázku: kde žije heslo. Obľúbená odpoveď je samotná akcia úlohy, čo je preň aj najhoršie miesto. Existujú dva ďalšie návrhy. Ktorý sa hodí, závisí od toho, či sa stroj dokáže overiť bez človeka a či server prijíma certifikáty.

Čo akcia úlohy necháva čitateľné

Argumenty v naplánovanej úlohe sú súčasťou jej definície, nie skrytá hodnota za behu. Ktokoľvek môže úlohu prečítať, obnoviť jej zálohu alebo exportovať jej XML, vidí reťazec presne tak, ako ste ho napísali. Počas spustenia sa ten istý reťazec objaví v zozname procesov. Monitorovací agent ho môže skopírovať do protokolu, ktorý nikdy neprechádzate.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Overte to, než budete predpokladať opak. Prvý príkaz vypíše celú definíciu vrátane akcie a jej argumentov. Druhý ukazuje, ktoré prihlasovacie údaje si aktuálny účet uložil do vyrovnávacej pamäte, čo je dôležité pre alternatívne návrhy nižšie. Ak sa heslo objaví v XML úlohy, jeho rotácia je len polovica opravy, pretože úloha stále drží starú hodnotu.

Čo uložený vopred zdieľaný kľúč skutočne prináša

Add-VpnConnection -L2tpPsk zapíše kľúč do položky telefónneho zoznamu pripojenia, nie do úlohy. To je menšia plocha expozície ako akcia úlohy. Stále je to obnoviteľné tajomstvo, pretože správca na stroji môže telefónny zoznam prečítať.

Pre laboratórne spojenie medzi dvoma strojmi, ktoré ovládate, môže byť táto výmena prijateľná. Pre používateľské prihlasovacie údaje na zdieľanom koncovom bode nie. Nazvať to šifrovaným úložiskom nemení, kto ho môže čítať. Telefónny zoznam je konfiguračný súbor. Plánujte pre človeka, ktorý ho môže otvoriť, nielen pre človeka, ktorý sa môže prihlásiť ako používateľ.

Prihlasovacie údaje Winlogon odstraňujú tajomstvo a pridávajú závislosť

-UseWinlogonCredential volí inú cestu. Pripojenie sa overuje pomocou MSCHAPv2 voči prihlasovacím údajom prihláseného používateľa. Pre tento účet sa nič ďalšie neukladá.

Závislosť, ktorú pridáva, je značná. Musí existovať interaktívne prihlásenie, z ktorého sa dá požičať, čo vylučuje servisný účet a úlohu pred prihlásením. Pripojenie tiež dedí všetko, na čo prihlasovacie údaje tohto používateľa na serveri dosiahnu. Čítajte prepínač ako tvrdenie o tom, odkiaľ prihlasovacie údaje pochádzajú, nie ako bezpečnostné nastavenie. Mení zdroj a nič na tom, ako server potom autorizuje reláciu.

Overovanie certifikátom škáluje, pretože sa nič neukladá

Kde server podporuje EAP-TLS, certifikát stroja úplne odstráni zdieľané tajomstvo a odvolanie prebieha na vrstve certifikátu. Úloha bežiaca ako SYSTEM môže tento certifikát predložiť bez interaktívneho prihlásenia. Potvrďte, že server prijíma overovanie certifikátom, skôr než na ňom začnete stavať. Návrh závislý od nepodporovanej metódy je plán, nie riešenie. Potom rozhodnite, kde žije súkromný kľúč: úložisko stroja pre identitu zariadenia, úložisko používateľa pre osobu.

Kde sa nedá vyhnúť používateľskému menu a heslu, uložte ich do Credential Manager obmedzené na vlastný účet úlohy. Nechajte klienta čítať ich odtiaľ namiesto z argumentu. Tajomstvo, ktoré úloha dokáže získať bez vytlačenia, je menší problém než to zapísané v jej definícii.

Pred ďalšou rotáciou skontrolujte artefakty

Pozerajte sa na to, čo je uložené, nie na to, čo ste zamýšľali. Skontrolujte telefónny zoznam pre jednotlivých používateľov, kópiu pre všetkých používateľov, XML úlohy a každý skript, ktorý volá príkaz vytáčania. Potom potvrďte, že certifikát alebo uložené prihlasovacie údaje sú obmedzené na účet, ktorý úloha používa, pretože prihlasovacie údaje uložené pre váš interaktívny účet sú pre SYSTEM neviditeľné.

Zapíšte metódu overovania a účet do poznámok samotnej úlohy. Ďalší človek, ktorý zmení politiku servera, musí vedieť, ktorý návrh je v hre. Táto odpoveď nie je viditeľná len zo správania pri opätovnom pripojení. Napíšte ju tam, kam sa ďalšia rotácia pozrie najskôr.