من يحق له الاتصال؟ تدقيق msNPAllowDialin قبل الوصول عبر VPN

كلمة المرور صحيحة، والحساب عضو في مجموعة VPN، ومع ذلك لا يزال الاتصال مرفوضًا برسالة لا تذكر أي سياسة على الإطلاق. وعندما يحدث ذلك على خادم وصول عن بُعد يعمل بـ Windows، فأول ما أفحصه ليس قاعدة NPS، بل سمة واحدة في Active Directory لا يفتحها أحد: msNPAllowDialin، أي القيمة الكامنة وراء علامة التبويب «Dial-in». لهذه السمة ثلاث حالات، والحالة الثالثة تسلّم القرار بهدوء إلى مكان آخر. وفي معظم الأحيان لم يغيّرها أحد عن قصد: فقد استُنسخ الحساب من قالب، أو أنشأه سكربت كتب رفضًا صريحًا قبل سنوات ولم يُراجَع منذ ذلك الحين.

قد يحدث الرفض قبل قراءة السياسة

يتحقق Windows من إذن الاتصال الخاص بالحساب أثناء بناء قرار التخويل، لذا فإن الرفض الصريح ينهي المحادثة مبكرًا. وما تراه على العميل هو فشل مصادقة عام، وأحيانًا بعد اكتمال تبادل الشهادات، ولهذا يقضي الناس فترة ما بعد الظهر في اختبار بيانات اعتماد لم تكن المشكلة يومًا.

الحالة المعاكسة لا تقل إرباكًا. فقد يتصل حساب لم تُضبط عليه السمة قط بنجاح لأن السياسة سمحت له، ثم يتوقف الحساب نفسه عن الاتصال عندما يعدّل أحدهم قاعدة NPS لسبب غير ذي صلة. ولا يبدو أي من الحدثين من الخارج كتغيير في إذن الاتصال.

ثلاث حالات، والثالثة غير مرئية

TRUE يسمح بالاتصال، FALSE يرفضه، أما القيمة NULL فتعني أن الحساب يرث إجابته من سياسة الوصول عن بُعد أو من تخويل NPS. وتعرض واجهة الإدارة هذه الحالة الثالثة بعبارة «Control access through NPS Network Policy»، فتبدو كخانة اختيار غير محددة أكثر من كونها قرارًا.

لهذا فإن عدّ المستخدمين المسموح لهم من وحدة التحكم لا يخبرك بشيء تقريبًا. فقد يكون حساب موروث مسموحًا اليوم ومرفوضًا غدًا دون أن يُمس الحساب نفسه، وحساب FALSE قد يظل يتصل على خادم صُرفت سياساته إلى تجاهل خصائص الاتصال الخاصة بالمستخدمين. اقرأ السمة والسياسة معًا، وإلا فإنك تدقق نصف قرار فقط.

صدّر الأعلام دون إسقاط الحسابات الموروثة

نفّذ التصدير من وحدة تحكم بالمجال، أو من محطة عمل فيها وحدة Active Directory، واحتفظ بالملف الخام كدليل بدلًا من إعادة كتابة ملخص:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

من الأسهل لصق مرشّح LDAP واحد في سجل تغيير. هذا المرشّح يعيد الإذنات الصريحة فقط:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

ثم استعلم مرة أخرى دون بند الاتصال وابحث عن الحسابات التي تغيب قيمتها. تلك هي الحسابات الموروثة، وهي عادةً أكبر مجموعة في المجال، وإذا تخطيتها تحوّل التدقيق إلى قائمة بالأشخاص القلائل الذين تذكّر أحدهم ضبطهم يدويًا.

افصل السمة عن وصول المجموعات وعن سلامة الحساب

تجب السمة عن سؤال واحد: هل يجوز لهذا الحساب الاتصال. ولا تقول شيئًا عمّا إذا كان الشخص ما زال يعمل هنا، أو كان الحساب ممكّنًا، أو كانت كلمة مرور مشتركة مكتوبة في ملاحظة لدى مكتب المساعدة. اقرن التصدير بحالة التمكين وتاريخ آخر تسجيل دخول وعضوية المجموعة التي تمنح الوصول إلى الخادم.

المجموعات هي ما تتصرف بناءً عليه. حساب معطّل يحمل القيمة TRUE ضجيج. وحساب ممكّن يحمل القيمة TRUE ولم يسجّل الدخول منذ سنة مرشّح للإزالة. أما حساب موروث في مجموعة VPN لا يستطيع أحد تفسيره فهو النتيجة المهمة، لأن لا إعداد واحد يسجّل سبب منحه.

اقرأها من وحدة التحكم بالمجال التي يتحقق الخادم فعليًا مقابلها. قد يُظهر تأخر النسخ قيمة استبدلها الخادم بالفعل، وأي تدقيق يستند إلى قيمة قديمة من وحدة التحكم سيُطعن فيه لحظة يتحقق أحدهم مرة أخرى.

غيّر حسابًا واحدًا وأثبت أن التغيير وصل

لإزالة الوصول، اضبط السمة على FALSE بدلًا من مسحها. فالمسح يعيد الحساب إلى وراثة السياسة، وقد يسمح له مرة أخرى عند الاتصال التالي، ويبدو التغيير كإصلاح بينما هو في الحقيقة قرار مختلف:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

السطر الثاني هو إعادة ضبط الوراثة، وقد أُبقي منفصلًا عن قصد حتى لا يخلط أحد بين العمليتين. ثم تحقّق من جلسة ثانية، وأعد قراءة السمة، وافحص أحداث محاسبة NPS بحثًا عن الرفض بدلًا من الوثوق بتحديث وحدة التحكم.

وأخيرًا، دوّن أي آلية تملك القرار لكل خدمة وصول عن بُعد. فإذا كانت السياسة تتجاهل خصائص الاتصال للمستخدمين، فإن شرط المجموعة هو المرجع والسمة استشارية لتلك الخدمة وحدها. ويمكن لخدمتين على المجال نفسه أن تجيبا إجابتين مختلفتين بشكل مشروع، وينبغي أن يذكر سجل المراجعة ذلك في سطر واحد لكل خدمة.

المخرَج الذي يصمد أمام التدقيق قصير: من يحق له الاتصال، وبأي آلية، ومتى روجع، وبواسطة من. السمة تقدم أول إجابتين؛ ولا يقدم الباقي إلا مراجعة السياسة.