Kim zəng edə bilər? VPN girişindən əvvəl msNPAllowDialin auditi

Parol düzgündür, hesab VPN qrupundadır, amma bağlantı yenə də heç bir siyasət qeyd etməyən mesajla rədd edilir. Bu, Windows uzaqdan giriş serverində baş verdikdə ilk baxdığım yer NPS qaydası deyil, heç kimin açmadığı bir Active Directory atributudur: msNPAllowDialin, yəni Dial-in nişanının arxasındakı dəyər. Onun üç vəziyyəti var və üçüncüsü qərarı səssizcə başqa yerə ötürür. Çox vaxt heç kim onu qəsdən dəyişməyib: hesab şablondan kopyalanıb və ya illər əvvəl açıq rədd yazan və bir daha nəzərdən keçirilməyən skriptlə yaradılıb.

Rədd siyasət oxunmadan əvvəl baş verə bilər

Windows avtorizasiya qərarını qurarkən hesabın zəng icazəsini yoxlayır, buna görə açıq rədd söhbəti erkən bitirir. Müştəridə gördüyünüz şey ümumi autentifikasiya xətasıdır, bəzən sertifikat mübadiləsi tamamlandıqdan sonra, buna görə insanlar heç vaxt problem olmayan etimadnamələri günorta boyu sınaqdan keçirirlər.

Əks hal da eyni dərəcədə çaşdırıcıdır. Bayraq heç vaxt qurulmamış hesab siyasət icazə verdiyi üçün uğurla qoşula bilər, sonra isə kimsə əlaqəsiz səbəbdən NPS qaydasını redaktə edəndə həmin hesab qoşulmağı dayandırır. Nəticədə heç bir hadisə kənardan zəng icazəsinin dəyişməsi kimi görünmür.

Üç vəziyyət, üçüncüsü isə görünməzdir

TRUE zəngə icazə verir, FALSE onu rədd edir, NULL dəyəri isə hesabın cavabını uzaqdan giriş siyasətindən və ya NPS avtorizasiyasından miras aldığını bildirir. GUI həmin üçüncü vəziyyəti "Control access through NPS Network Policy" kimi göstərir və bu, qərardan çox qurulmamış işarə qutusu kimi oxunur.

Buna görə konsoldan icazəli istifadəçiləri saymaq demək olar ki, heç nə demir. Miras alınmış hesab bu gün icazəli, sabah isə hesaba toxunulmadan rədd edilmiş ola bilər və FALSE hesabı istifadəçi zəng xassələrini nəzərə almayan siyasəti olan serverdə yenə qoşula bilər. Atributu və siyasəti birlikdə oxuyun, əks halda qərarın yalnız yarısını audit edirsiniz.

Miras alınmış hesabları itirmədən bayraqları ixrac edin

İxracı domen nəzarətçisindən və ya Active Directory modulu olan iş stansiyasından işə salın və xülasəni yenidən yazmaq əvəzinə xam faylı sübut kimi saxlayın:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Tək bir LDAP filtri dəyişiklik qeydinə yapışdırmaq üçün daha asandır. Bu filtr yalnız açıq icazələri qaytarır:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Sonra zəng bəndi olmadan yenidən sorğu edin və dəyəri olmayan hesabları axtarın. Bunlar miras alınmış hesablardır, adətən domendəki ən böyük qrupdur və onları atlamaq auditi kimsənin əl ilə qurmağı yadda saxladığı bir neçə nəfərin siyahısına çevirir.

Bayrağı qrup girişindən və hesab sağlamlığından ayırın

Atribut bir suala cavab verir: bu hesab zəng edə bilərmi. İnsanın hələ də burada işləyib-işləmədiyi, hesabın aktiv olub-olmadığı və ya bələdçi masası qeydində ortaq parolun olub-olmadığı barədə heç nə demir. İxracı aktivlik vəziyyəti, son daxil olma tarixi və serverə giriş verən qrup üzvlüyü ilə birləşdirin.

Təsir etdiyiniz şey kombinasiyalardır. Deaktiv hesab TRUE ilə səs-küydür. Aktiv hesab TRUE ilə bir ildir daxil olmayıbsa, silinmə namizədidir. VPN qrupunda heç kimin izah edə bilmədiyi miras alınmış hesab isə əsl tapıntıdır, çünki heç bir tək parametr onun niyə verildiyini qeyd etmir.

Onu VPN serverinin həqiqətən autentifikasiya etdiyi domen nəzarətçisindən oxuyun. Replikasiya gecikməsi serverin artıq əvəz etdiyi dəyəri göstərə bilər və köhnə DC dəyərinə istinad edən audit kimsə yenidən yoxlayan kimi etirazla qarşılaşacaq.

Bir hesabı dəyişin və dəyişikliyin çatdığını sübut edin

Girişi silmək üçün atributu FALSE olaraq təyin edin, onu təmizləməyin. Təmizləmə hesabı siyasət mirasına qaytarır, bu da növbəti bağlantıda yenidən icazə verə bilər və dəyişiklik düzəliş kimi görünür, halbuki əslində fərqli bir qərardır:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

İkinci sətir mirasın sıfırlanmasıdır və heç kimin iki əməliyyatı qarışdırmaması üçün qəsdən ayrı saxlanılıb. Sonra ikinci sessiyadan təsdiqləyin, atributu yenidən oxuyun və konsolun yenilənməsinə güvənmək əvəzinə rədd üçün NPS uçot hadisələrini yoxlayın.

Nəhayət, hər uzaqdan giriş xidməti üçün qərarın hansı mexanizmə aid olduğunu yazın. Siyasət istifadəçi zəng xassələrini nəzərə almırsa, qrup şərti səlahiyyətlidir və atribut yalnız həmin xidmət üçün məsləhət xarakteri daşıyır. Eyni domendə iki xidmət qanuni olaraq fərqli cavab verə bilər və baxış qeydi bunu hər xidmət üçün bir sətirdə qeyd etməlidir.

Auditdən keçən nəticə qısadır: kim qoşula bilər, hansı mexanizmlə, nə vaxt nəzərdən keçirilib, kim tərəfindən. Zəng bayrağı ilk iki cavabı verir; qalanını yalnız siyasət baxışı verir.