Хто можа падключыцца? Аўдыт msNPAllowDialin перад доступам да VPN

msNPAllowDialin мае тры станы, а NULL перадае рашэнне NPS. Экспартуйце сцягі, аддзяліце іх ад групавога доступу і зафіксуйце, хто што праверыў.

Пароль правільны, уліковы запіс уваходзіць у групу VPN, а злучэнне ўсё роўна адхіляецца з паведамленнем, у якім не згадваецца ніводная палітыка. Калі гэта адбываецца на серверы аддаленага доступу Windows, першае месца, куды я гляджу, — не правіла NPS, а атрыбут Active Directory, які ніхто не адкрывае: msNPAllowDialin, значэнне за ўкладкай "Dial-in". У яго тры станы, і трэці ціха перадае рашэнне ў іншае месца. Часцей за ўсё ніхто не змяняў яго наўмысна: уліковы запіс быў скапіяваны з шаблона або створаны скрыптам, які шмат гадоў таму запісаў яўную забарону і больш не пераглядаўся.

Адмова можа адбыцца да чытання палітыкі

Windows правярае дазвол уліковага запісу на званок, пакуль будуе рашэнне аб аўтарызацыі, таму яўная забарона спыняе размову рана. На кліенце вы бачыце агульную памылку аўтэнтыфікацыі, часам пасля завяршэння абмену сертыфікатамі, і менавіта таму людзі праводзяць паўдня, правяраючы ўліковыя даныя, якія ніколі не былі праблемай.

Адваротны выпадак таксама блытае. Уліковы запіс, у якога сцяг ніколі не ўсталёўваўся, можа паспяхова падключыцца, бо палітыка дазваляла, а потым той самы запіс перастае падключацца, калі хтосьці змяняе правіла NPS з непаўязанай прычыны. Ні адзін з гэтых выпадкаў звонку не выглядае як змена дазволу на званок.

Тры станы, і трэці нябачны

TRUE дазваляе званок, FALSE адмаўляе, а NULL азначае, што ўліковы запіс атрымлівае адказ у спадчыну ад палітыкі аддаленага доступу або аўтарызацыі NPS. GUI паказвае гэты трэці стан як "Control access through NPS Network Policy", і ён чытаецца як незапоўнены сцяжок, а не як рашэнне.

Таму падлік дазволеных карыстальнікаў з кансолі амаль нічога не дае. Уліковы запіс са спадчынай можа быць дазволены сёння і адхілены заўтра без усялякага ўмяшання, а FALSE запіс можа ўсё яшчэ падключацца на серверы, палітыка якога ігнаруе ўласцівасці званка карыстальніка. Чытайце атрыбут і палітыку разам, інакш вы правяраеце палову рашэння.

Экспартуйце сцягі, не губляючы ўліковыя запісы са спадчынай

Запусціце экспарт з кантролера дамена або з працоўнай станцыі з модулем Active Directory і захавайце неапрацаваны файл як доказ, а не перадрукоўвайце зводку:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Адзін фільтр LDAP прасцей уставіць у запіс аб змене. Гэты вяртае толькі яўныя дазволы:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Затым запытайце зноў без умовы пра званок і пашукайце запісы, у якіх значэнне адсутнічае. Гэта і ёсць спадчынныя запісы, звычайна самая вялікая група ў дамене, і калі іх прапусціць, аўдыт ператвараецца ў спіс некалькіх чалавек, якіх хтосьці ўспомніў наладзіць уручную.

Аддзяліце сцяг ад групавога доступу і стану ўліковага запісу

Атрыбут адказвае на адно пытанне: ці можа гэты запіс званіць. Ён нічога не кажа пра тое, ці чалавек яшчэ працуе тут, ці ўключаны запіс і ці не ляжыць агульны пароль у нататцы службы падтрымкі. Спалучыце экспарт са станам уключэння, датай апошняга ўваходу і членствам у групе, якая дае доступ да сервера.

Дзейнічаць трэба па камбінацыях. Адключаны запіс з TRUE — шум. Уключаны запіс з TRUE, які не ўваходзіў год, — кандыдат на выдаленне. А спадчынны запіс у групе VPN, які ніхто не можа патлумачыць, — гэта самая важная знаходка, бо ніводзін параметр не фіксуе, чаму ён быў дадзены.

Чытайце гэта з таго кантролера дамена, супраць якога сервер VPN насамрэч аўтэнтыфікуецца. Затрымка рэплікацыі можа паказаць значэнне, якое сервер ужо замяніў, і аўдыт са спасылкай на састарэлае значэнне DC будзе аспрэчаны ў першы ж раз, калі хтосьці праверыць зноў.

Змяніце адзін запіс і дакажыце, што змена дайшла

Каб адабраць доступ, усталюйце атрыбут у FALSE, а не ачышчайце яго. Ачыстка вяртае запіс да спадчыны палітыкі, якая можа зноў дазволіць яго пры наступным злучэнні, і змена выглядае як выпраўленне, хаця насамрэч гэта іншае рашэнне:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Другі радок — скід спадчыны, наўмысна пакінуты асобна, каб ніхто не блытаў дзве аперацыі. Затым пацвердзіце з другой сесіі, перачытайце атрыбут і праверце падзеі ўліку NPS наконт адмовы, а не спадзявайцеся на абнаўленне кансолі.

Нарэшце, запішыце, які механізм валодае рашэннем для кожнай службы аддаленага доступу. Калі палітыка ігнаруе ўласцівасці званка карыстальніка, аўтарытэтнай з’яўляецца ўмова групы, а атрыбут мае дарадчы характар толькі для гэтай службы. Дзве службы ў адным дамене могуць цалкам легітымна адказваць па-рознаму, і запіс прагляду павінен сказаць пра гэта адным радком на кожную службу.

Вынік, які перажывае аўдыт, кароткі: хто можа падключыцца, праз які механізм, калі перагледжана, кім. Сцяг званка дае першыя два адказы; рэшту дае толькі прагляд палітыкі.

Падобныя артыкулы