Cé a fhéadann diailiú? Iniúchadh ar msNPAllowDialin roimh rochtain VPN

Tá an focal faire ceart, tá an cuntas sa ghrúpa VPN, agus diúltaítear don nasc fós le teachtaireacht nach luann aon pholasaí ar bith. Nuair a tharlaíonn sé sin ar fhreastalaí rochtana cianda Windows, ní hé an riail NPS an chéad áit a bhféachaim, ach aitreabúid amháin de chuid Active Directory nach n-osclaíonn aon duine: msNPAllowDialin, an luach taobh thiar den chluaisín Dial-in. Tá trí staid aige, agus tugann an tríú ceann an cinneadh go ciúin áit éigin eile. An chuid is mó den am níor athraigh aon duine é d’aon ghnó: clónáladh an cuntas ó theimpléad, nó chruthaigh script é a scríobh diúltú sainráite blianta ó shin agus nár athscrúdaíodh riamh.

Féadann an diúltú tarlú sula léitear an polasaí

Seiceálann Windows cead diailithe an chuntais agus é ag tógáil an chinnidh údaraithe, mar sin cuireann diúltú sainráite deireadh leis an gcomhrá go luath. Is é a fheiceann tú ar an gcliant ná teip fhíordheimhnithe ghinearálta, uaireanta tar éis an mhalartú teastas a bheith críochnaithe, agus is é sin an fáth a gcaitheann daoine tráthnóna ag tástáil dintiúirí nach raibh mar fhadhb riamh.

Tá an cás droim ar ais chomh mearbhall. Féadann cuntas nach bhfuil an bhrat socraithe riamh air nascadh go rathúil mar gheall gur cheadaigh an polasaí é, agus ansin stopann an cuntas céanna de nascadh nuair a dhéanann duine an riail NPS a chur in eagar ar chúis neamhghaolmhar. Ní fhéachann ceachtar den dá eachtra ón taobh amuigh cosúil le hathrú ar chead diailithe.

Trí staid, agus tá an tríú ceann dofheicthe

TRUE ceadaíonn diailiú, FALSE diúltaíonn sé dó, agus ciallaíonn NULL go n-oidhreann an cuntas a fhreagra ó pholasaí rochtana cianda nó ó údarú NPS. Taispeánann an GUI an tríú staid sin mar "Control access through NPS Network Policy", agus léitear é mar bhosca seiceála gan socrú seachas mar chinneadh.

Sin an fáth nach n-insíonn comhaireamh úsáideoirí ceadaithe ón gconsól aon rud beagnach. Féadann cuntas oidhreachta a bheith ceadaithe inniu agus diúltaithe amárach gan an cuntas a theagmháil, agus féadann FALSE cuntas nascadh fós ar fhreastalaí a bhfuil a pholasaí cumraithe chun airíonna diailithe an úsáideora a neamhshuim. Léigh an aitreabúid agus an polasaí le chéile, nó tá tú ag iniúchadh leath de chinneadh.

Easpórtáil na bratanna gan na cuntais oidhreachta a chailleadh

Rith an t-easpórtáil ó rialaitheoir fearainn, nó ó stáisiún oibre a bhfuil an modúl Active Directory aige, agus coinnigh an comhad amh mar fhianaise in ionad achoimre a ath-scríobh:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Tá sé níos éasca scagaire LDAP amháin a ghreamú i dtaifead athraithe. Ní thugann an ceann seo ach na ceadanna sainráite ar ais:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Ansin ceistigh arís gan an chlásal diailithe agus cuardaigh cuntais a bhfuil a luach ar iarraidh. Sin iad na cinn oidhreachta, de ghnáth an grúpa is mó sa bhfearann, agus má scipeann tú iad iompaíonn iniúchadh ina liosta de na beagán daoine ar chuimhnigh duine éigin a chumrú de láimh.

Scar an bhrat ó rochtain ghrúpa agus ó shláinte an chuntais

Freagraíonn an aitreabúid ceist amháin: an féidir leis an gcuntas seo diailiú. Ní deir sé aon rud faoi cé an bhfuil an duine ag obair anseo fós, an bhfuil an cuntas cumasaithe, nó an bhfuil focal faire comhroinnte ina luí i nóta de chuid na deisce cabhrach. Péireáil an t-easpórtáil le staid an chumasaithe, le dáta an logála isteach deireanach agus le ballraíocht an ghrúpa a thugann rochtain ar an bhfreastalaí.

Is iad na teaglaim an rud a ngníomhaíonn tú air. Cuntas díchumasaithe le TRUE is torann é. Cuntas cumasaithe le TRUE nach bhfuil logáilte isteach le bliain is iarrthóir é le baint. Is é cuntas oidhreachta sa ghrúpa VPN nach féidir le haon duine a mhíniú an toradh atá tábhachtach, mar ní thaifeadann aon socrú amháin cén fáth a tugadh é.

Léigh é ón rialaitheoir fearainn a ndéanann an freastalaí VPN fíorfhíordheimhniú ina choinne i ndáiríre. Féadann moill mhacasanúcháin luach a thaispeáint atá curtha in ionad ag an bhfreastalaí cheana, agus cuirfear in aghaidh iniúchta a luann luach DC as dáta an nóiméad a sheiceálann duine arís.

Athraigh cuntas amháin agus cruthaigh gur tháinig an t-athrú i bhfeidhm

Chun rochtain a bhaint, socraigh an aitreabúid go FALSE in ionad é a ghlanadh. Cuireann glanadh an cuntas ar ais chuig oidhreacht an pholasaí, rud a fhéadfaidh é a cheadú arís ar an gcéad nasc eile, agus breathnaíonn an t-athrú cosúil le deisiú nuair is cinneadh difriúil atá ann i ndáiríre:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Is é an dara líne athshocrú na hoidhreachta, coinnithe ar leithligh d’aon ghnó ionas nach meascfaidh aon duine an dá oibríocht. Ansin dearbhaigh ón dara seisiún, léigh an aitreabúid arís, agus seiceáil imeachtaí cuntasaíochta NPS don diúltú in ionad brath ar athnua an chonsóil.

Ar deireadh, scríobh síos cén mheicníocht a shealbhaíonn an cinneadh do gach seirbhís rochtana cianda. Má dhéanann an polasaí neamhshuim d’airíonna diailithe an úsáideora, is é coinníoll an ghrúpa an t-údarás agus níl san aitreabúid ach comhairleach don tseirbhís sin amháin. Is féidir le dhá sheirbhís sa bhfearann céanna freagra difriúil a thabhairt go dlisteanach, agus ba chóir don taifead athbhreithnithe é sin a rá i líne amháin in aghaidh na seirbhíse.

Tá an t-aschur a mhaireann iniúchadh gearr: cé a fhéadann nascadh, faoi cén mheicníocht, cathain a athscrúdaíodh, ag cé. Tugann brat an diailithe an chéad dá fhreagra; ní thugann ach athbhreithniú an pholasaí an chuid eile.