Wa kin ynbelle? Audyt fan msNPAllowDialin foar VPN-toegong

msNPAllowDialin hat trije steaten, en in NULL lit de beslissing oan NPS oer. Eksportearje de flaggen, skied se fan groeptoegong, en skriuw op wa’t wat neisjoen hat.

It wachtwurd is goed, it akkount sit yn ’e VPN-groep, en de ferbining wurdt dochs wegere mei in berjocht dat gjin belied neamt. As dat bart op in Windows-tsjinner foar tafalging, is it earste plak dêr’t ik sjoch net de NPS-regel, mar ien Active Directory-attribute dat nimmen iepenet: msNPAllowDialin, de wearde efter it ljepper Dial-in. It hat trije steaten, en de tredde jout de beslissing stil oan in oar plak. Meastentiids hat nimmen it mei opsetsin feroare: it akkount is kloneare fan in sjabloan, of troch in skript oanmakke dat jierren lyn in eksplisite wegering skreau en nea wer neisjoen is.

De wegering kin foarkomme foardat it belied lêzen wurdt

Windows kontrolearret de ynbelpermissy fan it akkount wylst it de autorisaasjebeslissing bout, dus in eksplisite wegering einiget it petear ier. Wat jo op ’e klant sjogge is in algemiene autentikaasjeflater, soms nei’t de sertifikaatwiksel foltôge is, en dêrom besteegje minsken in middei oan it testen fan oanmeldgegevens dy’t nea it probleem wiene.

It omkearde gefal is like betiizjend. In akkount wêrby’t de flagge nea ynsteld is kin mei súkses ferbine om’t it belied it tastean, en dan hâldt itselde akkount op mei ferbinen as immen de NPS-regel om in net-relatearre reden bewurket. Net ien fan beide barrens liket fan bûten op in feroaring fan ynbelpermissy.

Trije steaten, en de tredde is ûnsichtber

TRUE lit ynbelle ta, FALSE wegeret it, en in NULL betsjut dat it akkount syn antwurd erft fan it belied foar tafalging of fan NPS-autorisaasje. De GUI toant dy tredde steat as "Control access through NPS Network Policy", en it lêst as in net-oanfinkt fjildke ynstee fan in beslissing.

Dêrom seit it hast neat om tastiene brûkers fan de konsole ôf te tellen. In erfd akkount kin hjoed tastien en moarn wegere wêze sûnder dat it akkount oanrekke wurdt, en in FALSE akkount kin noch hieltyd ferbine op in tsjinner waans belied ynsteld is om de ynbeleigenskippen fan ’e brûker te negearjen. Lês de attribute en it belied tegearre, oars auditearje jo de helte fan in beslissing.

Eksportearje de flaggen sûnder de erfde akkounts kwyt te reitsjen

Rin de eksport fan in domeinkontrôler ôf, of fan in wurkstasjon mei de Active Directory-module, en bewarje it rûge bestân as bewiis ynstee fan in gearfetting oer te typen:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Ien LDAP-filter is makliker yn in feroaringsrecord te plakken. Dizze jout allinnich de eksplisite tastimmingen werom:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Freegje dan wer sûnder de ynbelklausule en sykje akkounts wêrfan de wearde ûntbrekt. Dat binne de erfde, meastentiids de grutste groep yn it domein, en as jo dy oerslaan wurdt in audyt in list fan ’e pear minsken dy’t immen betocht om mei de hân te konfigurearjen.

Skied de flagge fan groeptoegong en fan ’e sûnens fan it akkount

De attribute antwurdet op ien fraach: mei dit akkount ynbelle. It seit neat oer oft de persoan hjir noch wurket, oft it akkount ynskeakele is, of der in dield wachtwurd yn in notysje fan ’e helpdesk leit. Keppelje de eksport oan de ynskeakelsteat, de datum fan ’e lêste oanmelding en it groepslidmaatskip dat tagong ta de tsjinner jout.

De kombinaasjes binne wat jo beheare. In útskeakele akkount mei TRUE is lûd. In ynskeakele akkount mei TRUE dat in jier net oanmeld is, is in kandidaat foar fuortheljen. In erfd akkount yn ’e VPN-groep dat nimmen ferklearje kin is de fynst dy’t ta docht, om’t gjin inkelfâldige ynstelling fêstleit wêrom’t it jûn is.

Lês it fan ’e domeinkontrôler dêr’t de VPN-tsjinner him wier tsjin autentisearret. Fertraging yn ’e replikaasje kin in wearde toane dy’t de tsjinner al ferfongen hat, en in audyt dat in ferâldere DC-wearde sitearret sil útdage wurde op it stuit dat immen wer sjocht.

Feroarje ien akkount en bewiis dat de feroaring oankommen is

Om tagong fuort te heljen, set de attribute op FALSE ynstee fan him te wiskjen. Wiskjen bringt it akkount werom nei beliedserfenis, dy’t it by de folgjende ferbining wer tastean kin, en de feroaring liket in reparaasje wylst it eins in oare beslissing is:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

De twadde rigel is it weromsetten fan ’e erfenis, mei opsetsin apart holden sadat nimmen de twa operaasjes trochinoar hellet. Befêstigje dan fan in twadde sesje, lês de attribute wer en kontrolearje de NPS-boekhâldingseveneminten foar de wegering ynstee fan op ’e ferfarsking fan ’e konsole te fertrouwen.

Skriuw úteinlik op hokker meganisme de beslissing foar elke tsjinst foar tafalging hat. As it belied de ynbeleigenskippen fan ’e brûker negearret, is de groepbetingst gesachhawwend en is de attribute allinnich riejaand foar dy tsjinst. Twa tsjinsten yn itselde domein kinne legitime ferskillend antwurdzje, en it ferslach fan ’e neisjen moat dat yn ien rigel per tsjinst sizze.

De útfier dy’t in audyt oerlibbet is koart: wa’t ferbine mei, ûnder hokker meganisme, wannear neisjoen, troch wa. De ynbelflagge jout de earste twa antwurden; allinnich it neisjen fan it belied jout de rest.

Relatearre artikelen