Kes tohib sisse helistada? msNPAllowDialin auditeerimine enne VPN-i juurdepääsu

Parool on õige, konto on VPN-grupis ja ühendus lükatakse siiski tagasi teatega, mis ei maini ühtegi poliitikat. Kui see juhtub Windowsi kaugjuurdepääsu serveris, ei vaata ma esimesena NPS-i reeglit, vaid üht Active Directory atribuuti, mida keegi ei ava: msNPAllowDialin, väärtust Dial-in vahekaardi taga. Sellel on kolm olekut ja kolmas annab otsuse vaikselt mujale. Enamasti ei ole keegi seda meelega muutnud: konto klooniti mallist või lõi selle skript, mis kirjutas aastaid tagasi selgesõnalise keelu ja mida ei ole kunagi uuesti üle vaadatud.

Tagasilükkamine võib juhtuda enne, kui poliitika on loetud

Windows kontrollib konto sissehelistamise luba autoriseerimisotsuse koostamise ajal, seega selgesõnaline keeld lõpetab vestluse varakult. Kliendis näete üldist autentimistõrget, mõnikord pärast sertifikaatide vahetuse lõppu, ja seetõttu veedavad inimesed pärastlõuna, kontrollides volitusi, mis ei olnud kunagi probleem.

Vastupidine juhtum on sama segane. Konto, millel lippu pole kunagi seatud, võib edukalt ühenduda, sest poliitika lubas seda, ja siis lakkab sama konto ühendumast, kui keegi muudab NPS-i reeglit seotamata põhjusel. Kumbki sündmus ei näi väljastpoolt sissehelistamisloa muutusena.

Kolm olekut ja kolmas on nähtamatu

TRUE lubab sissehelistamise, FALSE keelab selle ja NULL tähendab, et konto pärib oma vastuse kaugjuurdepääsu poliitikast või NPS-i autoriseerimisest. GUI kuvab selle kolmanda oleku kujul "Control access through NPS Network Policy", ja see loeb nagu märkimata märkeruut, mitte nagu otsus.

Seetõttu ei ütle lubatud kasutajate loendamine konsoolist peaaegu midagi. Päritud konto võib olla täna lubatud ja homme keelatud, ilma et keegi kontot puutuks, ja FALSE konto võib endiselt ühenduda serveriga, mille poliitika on seatud kasutaja sissehelistamisomadusi eirata. Lugege atribuuti ja poliitikat koos, muidu auditeerite poolt otsust.

Eksportige lipud päritud kontosid kaotamata

Käivitage eksport domeenikontrollerist või tööjaamast, kus on Active Directory moodul, ja hoidke töötlemata faili tõendina, selle asemel et kokkuvõtet ümber trükkida:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Ühte LDAP-filtrit on muudatuse kirjesse lihtsam kleepida. See tagastab ainult selgesõnalised load:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Seejärel lugege uuesti ilma sissehelistamise klauslita ja otsige kontosid, mille väärtus puudub. Need on päritud kontod, tavaliselt domeeni suurim rühm, ja nende vahelejätmine muudab auditi loeteluks vähestest inimestest, kelle keegi mäletas käsitsi seadistada.

Eraldage lipp grupijuurdepääsust ja konto tervisest

Atribuut vastab ühele küsimusele: kas see konto tohib sisse helistada. See ei ütle midagi selle kohta, kas inimene töötab siin veel, kas konto on lubatud või kas kuskil abilaua märkmes lebab ühine parool. Siduge eksport lubatud oleku, viimase sisselogimise kuupäeva ja serverile juurdepääsu andva rühmaliikmelisusega.

Kombinatsioonid on see, mille järgi tegutseda. Keelatud konto TRUE-väärtusega on müra. Lubatud konto TRUE-väärtusega, mis ei ole aasta jooksul sisse loginud, on eemaldamise kandidaat. Päritud konto VPN-grupis, mida keegi seletada ei oska, on see tõeline leid, sest ükski seade ei registreeri, miks see anti.

Lugege seda domeenikontrollerist, mille vastu VPN-server tegelikult autentib. Replikatsiooni viivitus võib näidata väärtust, mille server on juba asendanud, ja aegunud DC väärtusele viitav audit vaidlustatakse hetkel, kui keegi uuesti kontrollib.

Muutke ühte kontot ja tõestage, et muudatus jõudis kohale

Juurdepääsu eemaldamiseks seadke atribuut väärtusele FALSE, mitte tühjendage seda. Tühjendamine tagastab konto poliitika pärimisele, mis võib selle järgmisel ühendusel uuesti lubada, ja muudatus näib parandusena, kuigi on tegelikult teistsugune otsus:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Teine rida on pärimise lähtestamine, meelega eraldi hoitud, et keegi ei ajaks kahte toimingut segi. Seejärel kinnitage teisest sessioonist, lugege atribuut uuesti ja kontrollige keeldumise kohta NPS-i arvestussündmusi, selle asemel et usaldada konsooli värskendust.

Lõpuks kirjutage üles, milline mehhanism omab otsust iga kaugjuurdepääsuteenuse jaoks. Kui poliitika eirab kasutaja sissehelistamisomadusi, on rühmatingimus volitatud ja atribuut on nõuandev ainult selle teenuse jaoks. Kaks teenust samas domeenis võivad õiguspäraselt erinevalt vastata, ja ülevaatamisprotokoll peaks seda ütlema ühe rea kohta teenuse kohta.

Tulemus, mis auditist üle elab, on lühike: kes tohib ühenduda, millise mehhanismi alusel, millal üle vaadatud, kelle poolt. Sissehelistamise lipp annab kaks esimest vastust; ülejäänu annab ainult poliitika ülevaatus.