Återanslut en Windows-VPN utan att lägga lösenordet i uppgiften

Varje recept för obevakad återanslutning landar till slut på samma fråga: var lösenordet bor. Det populära svaret är själva uppgiftsåtgärden, vilket också är den sämsta platsen för det. Två andra designer finns. Vilken som passar beror på om maskinen kan autentisera utan en person och om servern accepterar certifikat.

Vad en uppgiftsåtgärd lämnar läsbart

Argument i en schemalagd uppgift är en del av dess definition, inte ett dolt körtidsvärde. Alla som kan läsa uppgiften, återställa en säkerhetskopia av den eller exportera dess XML ser strängen exakt som du skrev den. Under en körning visas samma sträng i processlistan. En övervakningsagent kan kopiera den till en logg som du aldrig granskar.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Kontrollera innan du antar motsatsen. Det första kommandot skriver ut hela definitionen, inklusive åtgärden och dess argument. Det andra visar vilka autentiseringsuppgifter det aktuella kontot har cachelagrat, vilket är viktigt för de alternativa designersna nedan. Om lösenordet visas i uppgiftens XML är rotation bara halva reparationen, eftersom uppgiften fortfarande håller det gamla värdet.

Vad en lagrad i förväg delad nyckel egentligen ger

Add-VpnConnection -L2tpPsk skriver nyckeln i anslutningens telefonboks post i stället för i en uppgift. Det är en mindre exponeringsyta än en uppgiftsåtgärd. Det är fortfarande en hemlighet som kan återställas, eftersom en administratör på maskinen kan läsa telefonboken.

För en laboratorieanslutning mellan två maskiner du kontrollerar kan det utbytet vara acceptabelt. För en användarautentiseringsuppgift på en delad slutpunkt är det inte. Att kalla det krypterad lagring ändrar inte vem som kan läsa det. Telefonboken är en konfigurationsfil. Planera för personen som kan öppna den, inte bara för personen som kan logga in som användaren.

Winlogon-autentiseringsuppgifter tar bort hemligheten och lägger till ett beroende

-UseWinlogonCredential väljer en annan väg. Anslutningen autentiserar med MSCHAPv2 mot autentiseringsuppgifterna för den inloggade användaren. Inget extra lagras för det kontot.

Beroendet den lägger till är betydande. Det måste finnas en interaktiv inloggning att låna från, vilket utesluter ett tjänstekonto och en uppgift före inloggning. Anslutningen ärver också allt som den användarens autentiseringsuppgifter kan nå på servern. Läs reglaget som ett uttalande om var autentiseringsuppgiften kommer ifrån, inte som en säkerhetsinställning. Det ändrar källan, och ingenting i hur servern sedan auktoriserar sessionen.

Certifikatautentisering skalar eftersom ingenting lagras

Där servern stöder EAP-TLS tar ett maskincertifikat bort den delade hemligheten helt, och återkallelse sker på certifikatlagret. En uppgift som körs som SYSTEM kan presentera det certifikatet utan en interaktiv inloggning. Bekräfta att servern accepterar certifikatautentisering innan du bygger på det. En design som är beroende av en metod som inte stöds är en plan snarare än en lösning. Bestäm sedan var den privata nyckeln bor: maskinlagret för en enhetsidentitet, användarlagret för en person.

Där användarnamn och lösenord inte kan undvikas, lagra dem i Credential Manager begränsat till uppgiftens eget konto. Låt klienten läsa dem därifrån i stället för från ett argument. En hemlighet som uppgiften kan hämta utan att skriva ut den är ett mindre problem än en som skrivits in i dess definition.

Granska artefakterna före nästa rotation

Titta på vad som lagras i stället för vad du hade tänkt. Kontrollera telefonboken per användare, kopian för alla användare, uppgiftens XML och alla skript som anropar uppringningskommandot. Bekräfta sedan att certifikatet eller den cachelagrade autentiseringsuppgiften är begränsad till kontot som uppgiften använder, eftersom en autentiseringsuppgift som lagrats för ditt interaktiva konto är osynlig för SYSTEM.

Anteckna autentiseringsmetoden och kontot i uppgiftens egna anteckningar. Nästa person som ändrar serverns policy behöver veta vilken design som är i spel. Det svaret syns inte bara av återanslutningsbeteendet. Skriv det där nästa rotation tittar först.