Muling ikonekta ang Windows VPN nang hindi inilalagay ang password sa gawain

Ang bawat recipe ng walang-pagmamasid na muling pagkonekta ay nauuwi sa parehong tanong: saan nakatira ang password. Ang popular na sagot ay ang aksyon ng gawain mismo, na siya ring pinakamasamang lugar para dito. May dalawang iba pang disenyo. Alin ang angkop ay depende sa kung ang makina ay makapagpapatunay nang walang tao at kung tinatanggap ng server ang mga sertipiko.

Ano ang iniiwang nababasa ng aksyon ng gawain

Ang mga argumento sa isang naka-iskedyul na gawain ay bahagi ng depinisyon nito, hindi isang nakatagong halaga sa runtime. Sinumang makabasa ng gawain, makapagpanumbalik ng backup nito o makapag-export ng XML nito ay nakikita ang string nang eksakto ayon sa iyong tinipa. Sa panahon ng pagtakbo ang parehong string ay lumilitaw sa listahan ng proseso. Maaaring kopyahin ito ng isang monitoring agent sa isang log na hindi mo kailanman sinusuri.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Suriin bago ka mag-akala ng kabaligtaran. Ang unang utos ay naglilimbag ng buong depinisyon, kasama ang aksyon at mga argumento nito. Ang pangalawa ay nagpapakita kung aling mga kredensyal ang na-cache ng kasalukuyang account, na mahalaga para sa mga alternatibong disenyo sa ibaba. Kung ang password ay lumilitaw sa XML ng gawain, ang pag-ikot nito ay kalahati lamang ng pag-aayos, dahil hawak pa rin ng gawain ang lumang halaga.

Ano ang tunay na ibinibigay ng naka-imbak na paunang ibinahaging key

Add-VpnConnection -L2tpPsk isinulat ang key sa entry ng phonebook ng koneksyon sa halip na sa isang gawain. Iyon ay isang mas maliit na ibabaw ng pagkakalantad kaysa sa aksyon ng gawain. Ito ay isang lihim pa ring mababawi, dahil ang isang administrator sa makina ay makababasa ng phonebook.

Para sa isang link sa laboratoryo sa pagitan ng dalawang makina na kinokontrol mo, ang pagpapalitan na iyon ay maaaring katanggap-tanggap. Para sa kredensyal ng user sa isang ibinahaging endpoint, hindi. Ang tawagin itong naka-encrypt na imbakan ay hindi nagbabago kung sino ang makababasa nito. Ang phonebook ay isang configuration file. Magplano para sa taong makakabukas nito, hindi lamang para sa taong makakapag-log on bilang user.

Inaalis ng mga kredensyal ng Winlogon ang lihim at nagdaragdag ng dependency

-UseWinlogonCredential pumipili ng ibang landas. Nagpapatunay ang koneksyon gamit ang MSCHAPv2 laban sa mga kredensyal ng naka-log on na user. Walang karagdagang naka-imbak para sa account na iyon.

Ang dependency na idinadagdag nito ay makabuluhan. Dapat mayroong interactive na pag-log on na mahihiraman, na nag-aalis ng service account at gawain bago ang pag-log on. Namamana rin ng koneksyon ang lahat ng maaabot ng mga kredensyal ng user na iyon sa server. Basahin ang switch bilang isang pahayag tungkol sa pinagmulan ng kredensyal, hindi bilang setting ng seguridad. Binabago nito ang pinagmulan, at wala sa kung paano awtorisahin ng server ang session pagkatapos.

Lumalaki ang pagpapatunay ng sertipiko dahil walang naka-imbak

Kung saan sinusuportahan ng server ang EAP-TLS, inaalis ng sertipiko ng makina ang ibinahaging lihim nang buo, at ang pagpapawalang-bisa ay nangyayari sa layer ng sertipiko. Ang isang gawain na tumatakbo bilang SYSTEM ay maaaring magpakita ng sertipikong iyon nang walang interactive na pag-log on. Kumpirmahin na tinatanggap ng server ang pagpapatunay ng sertipiko bago magtayo dito. Ang isang disenyo na umaasa sa isang hindi suportadong paraan ay isang plano, hindi isang solusyon. Pagkatapos ay magpasya kung saan nakatira ang pribadong key: ang tindahan ng makina para sa pagkakakilanlan ng aparato, ang tindahan ng user para sa isang tao.

Kung saan hindi maiiwasan ang username at password, iimbak ang mga ito sa Credential Manager na saklaw lamang sa sariling account ng gawain. Hayaang basahin ng client ang mga ito mula doon sa halip na mula sa isang argumento. Ang isang lihim na makukuha ng gawain nang hindi ito nililimbag ay isang mas maliit na problema kaysa sa isang nakasulat sa depinisyon nito.

Suriin ang mga artifact bago ang susunod na pag-ikot

Tingnan ang naka-imbak at hindi ang iyong intensyon. Suriin ang phonebook ng bawat user, ang kopya para sa lahat ng user, ang XML ng gawain at anumang script na tumatawag sa utos ng pag-dial. Pagkatapos ay kumpirmahin na ang sertipiko o naka-cache na kredensyal ay limitado sa account na ginagamit ng gawain, dahil ang kredensyal na naka-imbak para sa iyong interactive na account ay hindi nakikita ng SYSTEM.

Itala ang paraan ng pagpapatunay at ang account sa mga tala ng gawain mismo. Ang susunod na taong magbabago ng patakaran ng server ay kailangang malaman kung aling disenyo ang gumagana. Ang sagot na iyon ay hindi makikita mula sa pag-uugali ng muling pagkonekta lamang. Isulat ito kung saan titingin muna ang susunod na pag-ikot.