Windows VPN'ine parolayı göreve koymadan yeniden bağlanma

Her denetimsiz yeniden bağlanma tarifi sonunda aynı soruya gelir: parola nerede yaşar. Popüler yanıt, görev eyleminin kendisidir ve bu, onun için en kötü yerdir. İki başka tasarım vardır. Hangisinin uyduğu, makinenin bir kişi olmadan kimlik doğrulayıp doğrulayamadığına ve sunucunun sertifikaları kabul edip etmediğine bağlıdır.

Bir görev eylemi neyi okunabilir bırakır

Zamanlanmış bir görevdeki argümanlar tanımının parçasıdır, gizli bir çalışma zamanı değeri değildir. Görevi okuyabilen, yedeğini geri yükleyebilen veya XML'ini dışa aktarabilen herkes dizeyi tam sizin yazdığınız gibi görür. Çalışma sırasında aynı dize süreç listesinde görünür. Bir izleme ajanı onu hiç incelemediğiniz bir günlüğe kopyalayabilir.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Tersini varsaymadan önce kontrol edin. İlk komut, eylem ve argümanları dahil tam tanımı yazdırır. İkincisi geçerli hesabın hangi kimlik bilgilerini önbelleğe aldığını gösterir, bu aşağıdaki alternatif tasarımlar için önemlidir. Parola görevin XML'inde görünüyorsa, onu döndürmek onarımın yalnızca yarısıdır, çünkü görev hâlâ eski değeri tutar.

Saklanan önceden paylaşılmış bir anahtar gerçekte ne kazandırır

Add-VpnConnection -L2tpPsk anahtarı göreve değil, bağlantının telefon defteri girdisine yazar. Bu, görev eyleminden daha küçük bir maruz kalma yüzeyidir. Yine de kurtarılabilir bir sırdır, çünkü makinedeki bir yönetici telefon defterini okuyabilir.

Kontrol ettiğiniz iki makine arasındaki laboratuvar bağlantısı için bu takas kabul edilebilir olabilir. Paylaşılan bir uç noktada kullanıcı kimlik bilgisi için değildir. Ona şifrelenmiş depolama demek kimin okuyabileceğini değiştirmez. Telefon defteri bir yapılandırma dosyasıdır. Onu açabilen kişi için plan yapın, yalnızca kullanıcı olarak oturum açabilen kişi için değil.

Winlogon kimlik bilgileri sırrı kaldırır ve bir bağımlılık ekler

-UseWinlogonCredential başka bir yol seçer. Bağlantı şununla kimlik doğrular: MSCHAPv2, oturum açmış kullanıcının kimlik bilgilerine karşı. O hesap için ek hiçbir şey saklanmaz.

Eklediği bağımlılık önemlidir. Ödünç alınacak etkileşimli bir oturum açma olmalıdır, bu da hizmet hesabını ve oturum açmadan önceki görevi dışlar. Bağlantı ayrıca o kullanıcının kimlik bilgilerinin sunucuda erişebildiği her şeyi devralır. Anahtarı güvenlik ayarı olarak değil, kimlik bilgisinin nereden geldiğine dair bir ifade olarak okuyun. Kaynağı değiştirir ve sunucunun oturumu sonradan nasıl yetkilendirdiğine dair hiçbir şeyi değiştirmez.

Sertifika kimlik doğrulaması ölçeklenir çünkü hiçbir şey saklanmaz

Sunucunun EAP-TLS desteklediği yerlerde, bir makine sertifikası paylaşılan sırrı tamamen kaldırır ve iptal sertifika katmanında gerçekleşir. SYSTEM olarak çalışan bir görev, etkileşimli oturum açma olmadan bu sertifikayı sunabilir. Üzerine inşa etmeden önce sunucunun sertifika kimlik doğrulamasını kabul ettiğini doğrulayın. Desteklenmeyen bir yönteme bağlı tasarım bir çözüm değil, bir plandır. Ardından özel anahtarın nerede yaşayacağına karar verin: cihaz kimliği için makine deposu, bir kişi için kullanıcı deposu.

Kullanıcı adı ve parolanın kaçınılmaz olduğu yerlerde, bunları görevin kendi hesabıyla sınırlayarak Credential Manager'da saklayın. İstemcinin bunları bir argümandan değil oradan okumasına izin verin. Görevin yazdırmadan alabildiği bir sır, tanımına yazılmış olandan daha küçük bir sorundur.

Bir sonraki rotasyondan önce yapıtları gözden geçirin

Niyetinize değil, saklanana bakın. Kullanıcı başına telefon defterini, tüm kullanıcılar için kopyayı, görevin XML'ini ve arama komutunu çağıran her betiği kontrol edin. Ardından sertifikanın veya önbelleğe alınmış kimlik bilgisinin görevin kullandığı hesapla sınırlı olduğunu doğrulayın, çünkü etkileşimli hesabınız için saklanan kimlik bilgisi SYSTEM için görünmezdir.

Kimlik doğrulama yöntemini ve hesabı görevin kendi notlarına kaydedin. Sunucunun ilkesini değiştirecek bir sonraki kişi hangi tasarımın iş başında olduğunu bilmelidir. Bu yanıt yalnızca yeniden bağlanma davranışından görülmez. Bir sonraki rotasyonun ilk bakacağı yere yazın.