Nor da deitzeko gai? msNPAllowDialin VPN sarreraren aurretik ikuskatzen

Pasahitza zuzena da, kontua VPN taldean dago, eta konexioak ukatzen jarraitzen du politikarik aipatzen ez duen mezu batekin. Windows urruneko sarbide zerbitzari batean hori gertatzen denean, lehenengo begiratzen dudana ez da NPS araua, inork irekitzen ez duen Active Directory atributu bat baizik: msNPAllowDialin, Dial-in fitxaren atzean dagoen balioa. Hiru egoera ditu, eta hirugarrenak erabakia isilpean beste toki batera pasatzen du. Gehienetan inork ez zuen nahita aldatu: kontua txantiloi batetik klonatu zen, edo duela urte batzuk ukatze esplizitua idatzi zuen eta inoiz berrikusi ez zen script batek sortu zuen.

Ukoa politika irakurri aurretik gerta daiteke

Windowsek kontuaren deitzeko baimena egiaztatzen du autorizazio-erabakia eraikitzen duen bitartean, beraz, ukatze esplizitu batek elkarrizketa goiz amaitzen du. Bezeroan ikusten duzuna autentifikazio-hutsegite orokorra da, batzuetan ziurtagiri-trukea amaitu ondoren, eta horregatik jendeak arratsalde bat ematen du inoiz arazoa izan ez ziren kredentzialak probatzen.

Aurkako kasua bezain nahasia da. Inoiz bandera ezarri ez zaion kontu batek ondo konekta dezake politikak horretarako baimena eman zuelako, eta gero kontu berak konektatzeari uzten dio norbaitek NPS araua arrazoi ez-erlazionatu batengatik aldatzen duenean. Bi gertaeretako batek ere ez du kanpotik deitzeko baimenaren aldaketa itxurarik.

Hiru egoera, eta hirugarrena ikusezina da

TRUE deitzea baimentzen du, FALSE ukatzen du, eta NULL balioak esan nahi du kontuak urruneko sarbide politikatik edo NPS autorizaziotik heredatzen duela erantzuna. GUIk hirugarren egoera hori "Control access through NPS Network Policy" gisa erakusten du, eta markatu gabeko kontrol-laukia bezala irakurtzen da, ez erabaki gisa.

Horregatik, kontsolatik baimendutako erabiltzaileak zenbatzeak ia ezer esaten ez dizu. Ondareko kontu bat gaur baimenduta egon daiteke eta bihar ukatu, kontua ukitu gabe, eta FALSE kontu batek oraindik konekta dezake erabiltzailearen deitzeko propietateak alde batera uzteko konfiguratuta dagoen politikak duen zerbitzari batera. Irakurri atributua eta politika elkarrekin, bestela erabaki baten erdia ari zara ikuskatzen.

Esportatu banderak ondareko kontuak galdu gabe

Exekutatu esportazioa domeinu-kontrolatzailetik, edo Active Directory modulua duen lan-estazio batetik, eta gorde fitxategi gordina froga gisa, laburpena berridatzi beharrean:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

LDAP iragazki bakarra errazago itsasten da aldaketen erregistro batean. Honek baimen esplizituak soilik itzultzen ditu:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Gero kontsultatu berriro deitzeko klausularik gabe eta bilatu balioa falta zaien kontuak. Horiek dira ondarekoak, normalean domeinuko talderik handiena, eta haiek saltatzeak auditoria norbaitek eskuz konfiguratzea gogoratu zuen pertsona gutxiren zerrenda bihurtzen du.

Bereizi bandera talde-sarreratik eta kontuaren osasunetik

Atributuak galdera bati erantzuten dio: kontu honek dei dezakeen. Ez du ezer esaten pertsona hemen lanean jarraitzen duen, kontua gaituta dagoen edo laguntza-zerbitzuaren ohar batean pasahitz partekaturen bat dagoen. Parekatu esportazioa gaitze-egoerarekin, azken saio-hasieraren datarekin eta zerbitzarira sarbidea ematen duen talde-kidetzarekin.

Konbinazioak dira jarduten duzuna. Desgaitutako kontu bat TRUE duena zarata da. Gaitutako kontu bat TRUE duena eta urtebetez saioa hasi ez duena kentzeko hautagaia da. VPN taldeko ondareko kontu bat inork azaldu ezin duena da benetan garrantzitsua den aurkikuntza, ezarpen bakar batek ere ez baitu erregistratzen zergatik eman zen.

Irakurri VPN zerbitzariak benetan autentifikatzen duen domeinu-kontrolatzailetik. Erreplikazio-atzerapenak zerbitzariak dagoeneko ordeztu duen balio bat erakuts dezake, eta DC balio zaharkitua aipatzen duen auditoria erronka izango da norbaitek berriro egiaztatzen duen unean.

Aldatu kontu bat eta frogatu aldaketa iritsi dela

Sarbidea kentzeko, jarri atributua FALSE balioan, hura garbitu beharrean. Garbitzeak kontua politikaren ondaretzara itzultzen du, eta horrek hurrengo konexioan berriro baimendu dezake, eta aldaketak konponketa dirudi, benetan beste erabaki bat denean:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Bigarren lerroa ondaretzaren berrezarpena da, nahita bereizita, inork bi eragiketak nahas ez ditzan. Gero egiaztatu bigarren saio batetik, irakurri berriro atributua eta egiaztatu NPS kontabilitate-gertaerak ukoaren bila, kontsolaren freskatzean fidatu beharrean.

Azkenik, idatzi zein mekanismok duen erabakia urruneko sarbide zerbitzu bakoitzerako. Politikak erabiltzailearen deitzeko propietateak alde batera uzten baditu, talde-baldintza da autoritatea eta atributua zerbitzu horretarako aholku hutsa da. Domeinu bereko bi zerbitzuk legitoki erantzun dezakete desberdin, eta berrikuspen-erregistroak zerbitzu bakoitzeko lerro batean esan behar du.

Auditoria gainditzen duen emaitza laburra da: nork konekta dezakeen, zein mekanismoren bidez, noiz berrikusi zen, nork. Deitzeko banderak lehen bi erantzunak ematen ditu; gainerakoa politikaren berrikuspenak soilik ematen du.