Windows VPN-ga parolni vazifaga yozmasdan qayta ulan

Har bir nazoratsiz qayta ulanish retsepti oxir-oqibat bir xil savolga keladi: parol qayerda yashaydi. Ommabop javob — vazifaning harakatining o'zi, bu ham u uchun eng yomon joy. Yana ikkita dizayn mavjud. Qaysi biri mos kelishi mashina odamsiz autentifikatsiya qila olishiga va server sertifikatlarni qabul qilishiga bog'liq.

Vazifa harakati nimalarni o'qish mumkin qoldiradi

Rejalashtirilgan vazifadagi argumentlar uning ta'rifining bir qismi, yashirin ishlash vaqti qiymati emas. Vazifani o'qiy oladigan, uning zaxira nusxasini tiklay oladigan yoki XMLini eksport qila oladigan har kim satrni siz yozgandek ko'radi. Ishga tushganda xuddi shu satr jarayonlar ro'yxatida ko'rinadi. Monitoring agenti uni siz hech qachon ko'rmaydigan jurnalga nusxalashi mumkin.

schtasks /query /tn "VPN Reconnect" /xml
cmdkey /list

Aksini taxmin qilishdan oldin tekshiring. Birinchi buyruq harakat va uning argumentlari bilan to'liq ta'rifni chop etadi. Ikkinchisi joriy hisob qaysi kirish ma'lumotlarini keshlaganini ko'rsatadi, bu quyidagi muqobil dizaynlar uchun muhim. Agar parol vazifaning XMLida ko'rinsa, uni almashtirish ta'mirning yarmi xolos, chunki vazifa hali ham eski qiymatni saqlaydi.

Saqlangan oldindan umumiy kalit aslida nima beradi

Add-VpnConnection -L2tpPsk kalitni vazifaga emas, ulanishning telefon kitobi yozuviga yozadi. Bu vazifa harakatidan kichikroq ta'sir maydoni. Bu hali ham tiklanishi mumkin bo'lgan sir, chunki mashinadagi administrator telefon kitobini o'qiy oladi.

Siz boshqaradigan ikki mashina o'rtasidagi laboratoriya aloqasi uchun bu almashinuv maqbul bo'lishi mumkin. Umumiy so'nggi nuqtadagi foydalanuvchi kirish ma'lumotlari uchun esa yo'q. Uni shifrlangan saqlash deb atash kim o'qiy olishini o'zgartirmaydi. Telefon kitobi konfiguratsiya fayli. Uni ocha oladigan odam uchun rejalashtiring, faqat foydalanuvchi sifatida kira oladigan odam uchun emas.

Winlogon kirish ma'lumotlari sirni olib tashlaydi va qaramlik qo'shadi

-UseWinlogonCredential boshqa yo'lni tanlaydi. Ulanish quyidagi bilan autentifikatsiya qiladi MSCHAPv2 kirgan foydalanuvchining kirish ma'lumotlariga qarshi. Bu hisob uchun qo'shimcha hech narsa saqlanmaydi.

Qo'shadigan qaramligi sezilarli. Qarz olish uchun interaktiv kirish bo'lishi kerak, bu xizmat hisobini va kirishdan oldingi vazifani istisno qiladi. Ulanish shuningdek o'sha foydalanuvchining kirish ma'lumotlari serverda yeta oladigan hamma narsani meros oladi. Kalitni xavfsizlik sozlamasi sifatida emas, kirish ma'lumoti qayerdan kelishi haqidagi bayonot sifatida o'qing. U manbani o'zgartiradi va server keyin sessiyani qanday ruxsat berishida hech narsani o'zgartirmaydi.

Sertifikat bilan autentifikatsiya kengayadi, chunki hech narsa saqlanmaydi

Server EAP-TLSni qo'llab-quvvatlaydigan joyda mashina sertifikati umumiy sirni butunlay olib tashlaydi va bekor qilish sertifikat qatlamida sodir bo'ladi. SYSTEM sifatida ishlaydigan vazifa bu sertifikatni interaktiv kirsiz taqdim eta oladi. Uning ustida qurishdan oldin server sertifikat autentifikatsiyasini qabul qilishini tasdiqlang. Qo'llab-quvvatlanmaydigan usulga bog'liq dizayn yechim emas, rejadir. Keyin shaxsiy kalit qayerda yashashini hal qiling: qurilma identifikatori uchun mashina ombori, shaxs uchun foydalanuvchi ombori.

Foydalanuvchi nomi va paroldan qochib bo'lmaydigan joyda ularni vazifaning o'z hisobi bilan cheklab Credential Managerda saqlang. Mijoz ularni argumentdan emas, o'sha yerdan o'qisin. Vazifa chop etmasdan ola oladigan sir uning ta'rifiga yozilganidan kichikroq muammo.

Keyingi aylanishdan oldin artefaktlarni ko'rib chiqing

Nima qilishni niyat qilganingizni emas, nima saqlanganini ko'ring. Har bir foydalanuvchi telefon kitobini, barcha foydalanuvchilar uchun nusxani, vazifaning XMLini va terish buyrug'ini chaqiradigan har qanday skriptni tekshiring. Keyin sertifikat yoki keshlangan kirish ma'lumoti vazifa ishlatadigan hisob bilan cheklanganini tasdiqlang, chunki interaktiv hisobingiz uchun saqlangan kirish ma'lumoti SYSTEM uchun ko'rinmas.

Autentifikatsiya usuli va hisobni vazifaning o'z izohlariga yozib qo'ying. Server siyosatini o'zgartiradigan keyingi odam qaysi dizayn ishlatilayotganini bilishi kerak. Bu javob faqat qayta ulanish xatti-harakatidan ko'rinmaydi. Uni keyingi aylanish birinchi qaraydigan joyga yozing.