Ո՞վ կարող է զանգահարել: msNPAllowDialin-ի աուդիտը VPN մուտքից առաջ

Գաղտնաբառը ճիշտ է, հաշիվը VPN խմբում է, բայց միացումը դեռ մերժվում է հաղորդագրությամբ, որը ոչ մի քաղաքականություն չի հիշատակում։ Երբ դա տեղի է ունենում Windows-ի հեռավոր մուտքի սերվերում, առաջին տեղը, որտեղ նայում եմ, NPS կանոնը չէ, այլ Active Directory-ի մեկ հատկանիշ, որը ոչ ոք չի բացում: msNPAllowDialin, Dial-in ներդիրի հետևի արժեքը։ Այն ունի երեք վիճակ, և երրորդը լուռ կերպով որոշումը հանձնում է այլ տեղ։ Շատ դեպքերում ոչ ոք դա դիտմամբ չի փոխել՝ հաշիվը կլոնավորվել է ձևանմուշից, կամ ստեղծվել է սկրիպտով, որը տարիներ առաջ բացահայտ մերժում է գրել և այլևս երբեք չի վերանայվել։

Մերժումը կարող է տեղի ունենալ մինչև քաղաքականության ընթերցումը

Windows-ը ստուգում է հաշվի զանգահարելու թույլտվությունը, երբ կառուցում է լիազորման որոշումը, ուստի բացահայտ մերժումը շուտ է ավարտում զրույցը։ Այն, ինչ տեսնում եք հաճախորդում, ընդհանուր նույնականացման ձախողում է, երբեմն վկայականների փոխանակման ավարտից հետո, և դրա համար էլ մարդիկ կես օր ծախսում են ստուգելով հավատարմագրեր, որոնք երբեք խնդիրը չեն եղել։

Հակառակ դեպքը նույնքան շփոթեցնող է։ Այն հաշիվը, որի վրա դրոշը երբեք չի սահմանվել, կարող է հաջողությամբ միանալ, որովհետև քաղաքականությունը թույլ է տվել, ապա նույն հաշիվը դադարում է միանալ, երբ ինչ-որ մեկը չկապված պատճառով խմբագրում է NPS կանոնը։ Երկու դեպքերից ոչ մեկը դրսից նման չէ զանգահարելու թույլտվության փոփոխության։

Երեք վիճակ, և երրորդն անտեսանելի է

TRUE թույլատրում է զանգահարել, FALSE մերժում է այն, և NULL արժեքը նշանակում է, որ հաշիվը պատասխանը ժառանգում է հեռավոր մուտքի քաղաքականությունից կամ NPS լիազորումից։ GUI-ն այդ երրորդ վիճակը ցուցադրում է որպես "Control access through NPS Network Policy", և այն կարդացվում է ավելի շուտ որպես չնշված վանդակ, քան որոշում։

Դրա համար էլ կոնսոլից թույլատրված օգտվողներին հաշվելը գրեթե ոչինչ չի ասում։ Ժառանգված հաշիվը կարող է այսօր թույլատրված լինել, վաղը՝ մերժված, առանց հաշվին դիպչելու, և FALSE հաշիվը դեռ կարող է միանալ սերվերին, որի քաղաքականությունը կարգավորված է անտեսել օգտվողի զանգահարելու հատկությունները։ Կարդացեք հատկանիշը և քաղաքականությունը միասին, այլապես աուդիտ եք անում որոշման կեսը։

Արտահանեք դրոշները՝ չկորցնելով ժառանգված հաշիվները

Գործարկեք արտահանումը դոմենի կարգավորիչից կամ Active Directory մոդուլ ունեցող աշխատանքային կայանից, և պահեք չմշակված ֆայլը որպես ապացույց՝ ամփոփումը նորից մուտքագրելու փոխարեն:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Մեկ LDAP զտիչն ավելի հեշտ է տեղադրել փոփոխության գրառման մեջ։ Այս մեկը վերադարձնում է միայն բացահայտ թույլտվությունները:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Ապա նորից հարցում արեք առանց զանգահարելու դրույթի և փնտրեք հաշիվներ, որոնց արժեքը բացակայում է։ Դրանք ժառանգվածներն են, սովորաբար դոմենի ամենամեծ խումբը, և դրանք բաց թողնելը աուդիտը դարձնում է այն քիչ մարդկանց ցանկը, որոնց ինչ-որ մեկը հիշել է ձեռքով կարգավորել։

Առանձնացրեք դրոշը խմբային մուտքից և հաշվի առողջությունից

Հատկանիշը պատասխանում է մեկ հարցի՝ կարո՞ղ է այս հաշիվը զանգահարել։ Այն ոչինչ չի ասում այն մասին, թե արդյոք մարդը դեռ աշխատում է այստեղ, արդյոք հաշիվը միացված է, կամ արդյոք օգնության սեղանի գրառման մեջ ընդհանուր գաղտնաբառ կա։ Զուգակցեք արտահանումը միացվածության վիճակի, վերջին մուտքի ամսաթվի և սերվերին մուտք տվող խմբի անդամակցության հետ։

Գործում եք համակցությունների հիման վրա։ Անջատված հաշիվը TRUE արժեքով միայն աղմուկ է։ Միացված հաշիվը TRUE արժեքով, որը մեկ տարի չի մուտք գործել, հեռացման թեկնածու է։ Իսկ VPN խմբում ժառանգված հաշիվը, որը ոչ ոք չի կարող բացատրել, այն իրական հայտնաբերումն է, որովհետև ոչ մի առանձին կարգավորում չի գրանցում, թե ինչու է այն տրվել։

Կարդացեք այն դոմենի կարգավորիչից, որի դեմ VPN սերվերն իրականում նույնականացվում է։ Կրկնօրինակման ուշացումը կարող է ցույց տալ արժեք, որը սերվերն արդեն փոխարինել է, և հնացած DC արժեք մեջբերող աուդիտը կվիճարկվի այն պահին, երբ ինչ-որ մեկը նորից ստուգի։

Փոխեք մեկ հաշիվ և ապացուցեք, որ փոփոխությունը հասել է

Մուտքը հեռացնելու համար սահմանեք հատկանիշը FALSE արժեքով՝ այն մաքրելու փոխարեն։ Մաքրելը հաշիվը վերադարձնում է քաղաքականության ժառանգմանը, որը կարող է նորից թույլատրել այն հաջորդ միացման ժամանակ, և փոփոխությունը նման է ուղղման, մինչդեռ իրականում այլ որոշում է:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Երկրորդ տողը ժառանգման վերակայումն է, դիտմամբ առանձին պահված, որպեսզի ոչ ոք չշփոթի երկու գործողությունները։ Ապա հաստատեք երկրորդ սեսիայից, նորից կարդացեք հատկանիշը և մերժման համար ստուգեք NPS-ի հաշվառման իրադարձությունները՝ կոնսոլի թարմացմանը վստահելու փոխարեն։

Վերջում գրեք, թե որ մեխանիզմն է տիրում որոշմանը յուրաքանչյուր հեռավոր մուտքի ծառայության համար։ Եթե քաղաքականությունը անտեսում է օգտվողի զանգահարելու հատկությունները, խմբային պայմանն է հեղինակավոր, և հատկանիշը խորհրդատվական է միայն այդ ծառայության համար։ Նույն դոմենի երկու ծառայություններ կարող են օրինականորեն տարբեր պատասխանել, և վերանայման գրառումը պետք է դա ասի յուրաքանչյուր ծառայության համար մեկ տողով։

Աուդիտը վերապրող արդյունքը կարճ է՝ ով կարող է միանալ, ինչ մեխանիզմով, երբ է վերանայվել, ում կողմից։ Զանգահարելու դրոշը տալիս է առաջին երկու պատասխանները, մնացածը տալիս է միայն քաղաքականության վերանայումը։