Pwy all ddeialu? Archwilio msNPAllowDialin cyn mynediad VPN

Mae’r cyfrinair yn gywir, mae’r cyfrif yn y grŵp VPN, ac mae’r cysylltiad yn dal i gael ei wrthod gyda neges nad yw’n crybwyll unrhyw bolisi o gwbl. Pan fydd hynny’n digwydd ar weinydd mynediad o bell Windows, y lle cyntaf y byddaf yn edrych yw nid y rheol NPS ond un priodoledd Active Directory nad oes neb yn ei agor: msNPAllowDialin, sef y gwerth y tu ôl i’r tab Dial-in. Mae ganddo dri chyflwr, ac mae’r trydydd yn ildio’r penderfyniad yn dawel i rywle arall. Y rhan fwyaf o’r amser ni wnaeth neb ei newid yn fwriadol: cafodd y cyfrif ei glonio o dempled, neu ei ddarparu gan sgript a ysgrifennodd wadiad penodol flynyddoedd yn ôl ac na chafodd ei adolygu byth wedyn.

Gall y gwrthodiad ddigwydd cyn i’r polisi gael ei ddarllen

Mae Windows yn gwirio caniatâd deialu’r cyfrif wrth iddo lunio’r penderfyniad awdurdodi, felly mae gwadiad penodol yn dod â’r sgwrs i ben yn gynnar. Yr hyn a welwch ar y cleient yw methiant dilysu cyffredinol, weithiau ar ôl i’r gyfnewid tystysgrifau gwblhau, a dyna pam mae pobl yn treulio prynhawn yn profi manylion mewngofnodi nad oeddent erioed yn broblem.

Mae’r achos gwrthwyneb yr un mor ddryslyd. Gall cyfrif nad yw’r baner erioed wedi’i gosod arno gysylltu’n llwyddiannus oherwydd bod y polisi wedi caniatáu hynny, ac yna mae’r un cyfrif yn peidio â chysylltu pan fydd rhywun yn golygu’r rheol NPS am reswm digyswllt. Nid yw’r naill ddigwyddiad na’r llall yn edrych fel newid caniatâd deialu o’r tu allan.

Tri chyflwr, ac mae’r trydydd yn anweladwy

TRUE yn caniatáu deialu, FALSE yn ei wrthod, ac mae NULL yn golygu bod y cyfrif yn etifeddu ei ateb o bolisi mynediad o bell neu awdurdodiad NPS. Mae’r GUI yn dangos y trydydd cyflwr hwnnw fel "Control access through NPS Network Policy", ac mae’n darllen fel blwch gwirio heb ei osod yn hytrach na phenderfyniad.

Dyna pam nad yw cyfrif defnyddwyr a ganiateir o’r consol yn dweud fawr ddim wrthych. Gall cyfrif etifeddol gael ei ganiatáu heddiw a’i wrthod yfory heb i’r cyfrif gael ei gyffwrdd, a gall FALSE gyfrif gysylltu o hyd ar weinydd y mae ei bolisi wedi’i ffurfweddu i anwybyddu priodweddau deialu’r defnyddiwr. Darllenwch y briodoledd a’r polisi gyda’i gilydd, neu rydych yn archwilio hanner penderfyniad.

Allforiwch y baneri heb ollwng y cyfrifon etifeddol

Rhedwch yr allfudiad o reolydd parth, neu o waithfan sydd â’r modiwl Active Directory, a chadwch y ffeil crai fel tystiolaeth yn hytrach nag ail-deipio crynodeb:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Mae un hidlydd LDAP yn haws ei ludo i gofnod newid. Mae hwn yn dychwelyd y caniatadau penodol yn unig:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Yna ymholwch eto heb yr ymadrodd deialu a chwiliwch am gyfrifon sydd â’u gwerth yn absennol. Y rhain yw’r etifeddol, fel arfer y grŵp mwyaf yn y parth, ac mae eu hepgor yn troi archwiliad yn rhestr o’r ychydig bobl y cofiodd rhywun eu ffurfweddu â llaw.

Gwahanwch y faner oddi wrth fynediad grŵp ac iechyd y cyfrif

Mae’r briodoledd yn ateb un cwestiwn: a gai’r cyfrif hwn ddeialu. Nid yw’n dweud dim am ba un a yw’r person yn dal i weithio yma, a yw’r cyfrif wedi’i alluogi, neu a oes cyfrinair a rennir yn gorwedd mewn nodyn desg gymorth. Parwch yr allfudiad â’r cyflwr galluogi, dyddiad y mewngofnod olaf, a’r aelodaeth grŵp sy’n rhoi mynediad i’r gweinydd.

Y cyfuniadau yw’r peth rydych yn gweithredu arno. Cyfrif analluog gyda TRUE yw sŵn. Cyfrif galluog gyda TRUE nad yw wedi mewngofnodi ers blwyddyn yw ymgeisydd i’w dynnu. Cyfrif etifeddol yn y grŵp VPN nad oes neb yn gallu ei esbonio yw’r darganfyddiad sy’n bwysig, oherwydd nid oes unrhyw osodiad sengl yn cofnodi pam y cafodd ei roi.

Darllenwch ef o’r rheolydd parth y mae’r gweinydd VPN yn dilysu yn ei erbyn mewn gwirionedd. Gall oedi ailgrynhoi ddangos gwerth y mae’r gweinydd eisoes wedi’i ddisodli, a bydd archwiliad sy’n dyfynnu gwerth DC darfodedig yn cael ei herio’r funud y bydd rhywun yn gwirio eto.

Newidiwch un cyfrif a phrofwch fod y newid wedi cyrraedd

I dynnu mynediad, gosodwch y briodoledd i FALSE yn hytrach na’i chlirio. Mae clirio yn dychwelyd y cyfrif i etifeddu polisi, a allai ei ganiatáu eto ar y cysylltiad nesaf, ac mae’r newid yn edrych fel atgyweiriad pan mai penderfyniad gwahanol ydyw mewn gwirionedd:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Yr ail linell yw’r ailosodiad etifeddiaeth, wedi’i chadw ar wahân yn fwriadol fel na fydd neb yn cymysgu’r ddau weithrediad. Yna cadarnhewch o ail sesiwn, ail-ddarllenwch y briodoledd, a gwiriwch ddigwyddiadau cyfrifyddu NPS am y gwrthodiad yn hytrach na dibynnu ar adnewyddiad y consol.

Yn olaf, nodwch pa fecanwaith sy’n berchen ar y penderfyniad ar gyfer pob gwasanaeth mynediad o bell. Os yw’r polisi yn anwybyddu priodweddau deialu’r defnyddiwr, y cyflwr grŵp sydd awdurdodol ac mae’r briodoledd yn gynghorol ar gyfer y gwasanaeth hwnnw yn unig. Gall dau wasanaeth yn yr un parth ateb yn wahanol yn gyfreithlon, ac fe ddylai’r cofnod adolygu ddweud hynny mewn un linell fesul gwasanaeth.

Mae’r allbwn sy’n goroesi archwiliad yn fyr: pwy gai gysylltu, o dan ba fecanwaith, pryd y’i hadolygwyd, a chan bwy. Mae’r faner ddeialu yn rhoi’r ddau ateb cyntaf; dim ond yr adolygiad polisi sy’n rhoi’r gweddill.