Kuka saa soittaa? msNPAllowDialin-tarkastus ennen VPN-käyttöä

Salasana on oikein, tili on VPN-ryhmässä, ja yhteys evätään silti viestillä, joka ei mainitse mitään käytäntöä. Kun näin käy Windowsin etäkäyttöpalvelimella, ensimmäinen paikka, jota katson, ei ole NPS-sääntö vaan yksi Active Directory -määrite, jota kukaan ei avaa: msNPAllowDialin, Dial-in-välilehden takana oleva arvo. Sillä on kolme tilaa, ja kolmas siirtää päätöksen hiljaa muualle. Useimmiten kukaan ei muuttanut sitä tarkoituksella: tili kloonattiin mallista tai loi skripti, joka kirjoitti vuosia sitten nimenomaisen kiellon ja jota ei koskaan tarkistettu uudelleen.

Hylkäys voi tapahtua ennen kuin käytäntö luetaan

Windows tarkistaa tilin soitto-oikeuden, kun se rakentaa valtuutuspäätöstä, joten nimenomainen kielto päättää keskustelun aikaisin. Asiakkaalla näet yleisen todennusvirheen, joskus sertifikaattien vaihdon valmistuttua, ja siksi ihmiset viettävät iltapäivän testaamalla tunnuksia, jotka eivät koskaan olleet ongelma.

Päinvastainen tapaus on yhtä hämmentävä. Tili, jolle lippua ei ole koskaan asetettu, voi yhdistää onnistuneesti, koska käytäntö salli sen, ja sitten sama tili lakkaa yhdistämästä, kun joku muokkaa NPS-sääntöä asiattomasta syystä. Kumpikaan tapahtuma ei näytä ulkopuolelta soitto-oikeuden muutokselta.

Kolme tilaa, ja kolmas on näkymätön

TRUE sallii soiton, FALSE kieltää sen, ja NULL tarkoittaa, että tili perii vastauksensa etäkäyttökäytännöstä tai NPS-valtuutuksesta. Käyttöliittymä näyttää kolmannen tilan muodossa "Control access through NPS Network Policy", ja se luetaan pikemmin asettamattomana valintaruutuna kuin päätöksenä.

Siksi sallittujen käyttäjien laskeminen konsolista ei kerro juuri mitään. Peritty tili voi olla tänään sallittu ja huomenna evätty ilman, että tilia kosketaan, ja FALSE tili voi silti yhdistää palvelimelle, jonka käytäntö on määritetty jättämään käyttäjän soitto-ominaisuudet huomiotta. Lue määrite ja käytäntö yhdessä, muuten tarkastat puolet päätöksestä.

Vie liput ulos menettämättä perittyjä tilejä

Suorita vienti toimialueen ohjauskoneelta tai työasemalta, jossa on Active Directory -moduuli, ja säilytä raakatiedosto todisteena sen sijaan, että kirjoittaisit yhteenvedon uudelleen:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Yksi LDAP-suodatin on helpompi liittää muutosmerkintään. Tämä palauttaa vain nimenomaiset luvat:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Kysy sitten uudelleen ilman soittolauseketta ja etsi tilejä, joilta arvo puuttuu. Ne ovat perittyjä, yleensä toimialueen suurin ryhmä, ja jos ohitat ne, tarkastuksesta tulee luettelo niistä harvoista ihmisistä, jotka joku muisti määrittää käsin.

Erota lippu ryhmäkäytöstä ja tilin kunnosta

Määrite vastaa yhteen kysymykseen: saako tämä tili soittaa. Se ei kerro mitään siitä, työskenteleekö henkilö täällä vielä, onko tili käytössä tai onko jaettu salasana tukipalvelun muistiinpanossa. Yhdistä vienti käytössäolotilaan, viimeisen kirjautumisen päivämäärään ja ryhmäjäsenyyteen, joka antaa pääsyn palvelimelle.

Yhdistelmät ovat se, mihin puutut. Poistettu käytöstä oleva tili, jolla on TRUE on kohinaa. Käytössä oleva tili, jolla on TRUE eikä ole kirjautunut vuoteen, on poistoehdokas. Peritty tili VPN-ryhmässä, jota kukaan ei osaa selittää, on se merkityksellinen löydös, koska mikään yksittäinen asetus ei kirjaa, miksi se myönnettiin.

Lue se toimialueen ohjauskoneelta, jota vasten VPN-palvelin todella todennetaan. Replikoinnin viive voi näyttää arvon, jonka palvelin on jo korvannut, ja tarkastus, joka viittaa vanhentuneeseen DC-arvoon, kyseenalaistetaan heti, kun joku tarkistaa uudelleen.

Muuta yhtä tiliä ja todista, että muutos tuli perille

Poistaaksesi käytön aseta määritteen arvoksi FALSE sen sijaan, että tyhjennät sen. Tyhjentäminen palauttaa tilin käytännön perintään, joka voi sallia sen uudelleen seuraavalla yhteydellä, ja muutos näyttää korjaukselta, vaikka on todella eri päätös:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Toinen rivi on perinnön nollaus, tarkoituksella erillään pidetty, ettei kukaan sekoita kahta toimintoa. Vahvista sitten toisesta istunnosta, lue määrite uudelleen ja tarkista NPS-kirjanpitotapahtumista hylkäys sen sijaan, että luottaisit konsolin päivitykseen.

Kirjaa lopuksi, mikä mekanismi omistaa päätöksen kullekin etäkäyttöpalvelulle. Jos käytäntö jättää käyttäjän soitto-ominaisuudet huomiotta, ryhmäehto on ratkaiseva ja määrite on vain neuvoa-antava kyseiselle palvelulle. Kaksi saman toimialueen palvelua voivat laillisesti vastata eri tavoin, ja tarkastusmerkinnän pitäisi sanoa se yhdellä rivillä palvelua kohden.

Tarkastuksen kestävä tulos on lyhyt: kuka saa yhdistää, millä mekanismilla, milloin tarkastettu, kenen toimesta. Soittolippu antaa kaksi ensimmäistä vastausta; loput antaa vain käytännön tarkastus.