Hver má hringja inn? Úttekt á msNPAllowDialin fyrir VPN-aðgang

Lykilorðið er rétt, reikningurinn er í VPN-hópnum, og samt er tengingunni hafnað með skilaboðum sem nefna enga stefnu. Þegar þetta gerist á Windows-þjóni fyrir fjartengingu er fyrsti staðurinn sem ég skoða ekki NPS-reglan heldur eitt Active Directory-eigindi sem enginn opnar: msNPAllowDialin, gildið bak við Dial-in-flipann. Það hefur þrjú stöðugildi, og það þriðja færir ákvörðunina hljóðlega annað. Oftast breytti enginn því viljandi: reikningurinn var klónaður úr sniðmáti eða búinn til af skriftu sem skrifaði skýra synjun fyrir árum og var aldrei skoðuð aftur.

Synjunin getur átt sér stað áður en stefnan er lesin

Windows athugar innhringiheimild reikningsins meðan það byggir heimildarákvörðunina, svo skýr synjun endar samræðurnar snemma. Það sem þú sérð á biðlarann er almenn auðkenningarvilla, stundum eftir að skipti á skírteinum lýkur, og þess vegna eyða menn síðdegis í að prófa skírskotun sem var aldrei vandamálið.

Hið gagnstæða tilfelli er jafn ruglingslegt. Reikningur sem aldrei var sett flögg á getur tengst með góðum árangri vegna þess að stefnan leyfði það, og síðan hættir sami reikningur að tengjast þegar einhver breytir NPS-reglunni af óskyldri ástæðu. Hvorugt atburðanna lítur út eins og breyting á innhringiheimild að utan.

Þrjú stöðugildi, og það þriðja er ósýnilegt

TRUE leyfir innhringingu, FALSE synjar henni, og NULL þýðir að reikningurinn erfir svarið úr stefnu fyrir fjartengingu eða heimild NPS. Viðmótið sýnir þriðja stöðugildið sem "Control access through NPS Network Policy", og það les eins og ómerktur gátreitur frekar en ákvörðun.

Þess vegna segir það nánast ekkert að telja leyfða notendur úr stjórnborðinu. Erfður reikningur getur verið leyfður í dag og synjaður á morgun án þess að nokkur snerti reikninginn, og FALSE reikningur getur enn tengst á þjóni þar sem stefnan er stillt til að hunsa innhringieiginleika notandans. Lestu eigindið og stefnuna saman, annars ertu að skoða helming ákvörðunar.

Flyttu flöggin út án að tapa erfðu reikningunum

Keyrðu úttektina frá lénsstýringu, eða frá vinnustöð með Active Directory-eininguna, og geymdu hráu skrána sem sönnun í stað þess að skrifa samantekt upp á nýtt:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Ein LDAP-sía er auðveldari að líma í breytingaskrá. Þessi skilar aðeins skýrum leyfum:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Spurðu svo aftur án innhringiákvæðisins og leitaðu að reikningum sem vantar gildið. Þeir eru erfðu reikningarnir, venjulega stærsti hópurinn í léninu, og að sleppa þeim gerir úttekt að lista yfir fáu mennina sem einhver mundi eftir að stilla handvirkt.

Aðskildu flaggið frá hópaðgangi og heilsu reikningsins

Eigindið svarar einni spurningu: má þessi reikningur hringja inn. Það segir ekkert um hvort viðkomandi vinnur enn hér, hvort reikningurinn er virkur eða hvort samnýtt lykilorð liggur í minnisblaði hjálparborðsins. Paraðu úttektina við virkt stöðuna, dagsetningu síðustu innskráningar og hópmeðlimskapinn sem veitir aðgang að þjóninum.

Samsetningarnar eru það sem þú grípur til. Óvirkur reikningur með TRUE er hávaði. Virkur reikningur með TRUE sem er ekki búinn að skrá sig inn í eitt ár er frambjóðandi til að fjarlægja. Erfður reikningur í VPN-hópnum sem enginn getur útskýrt er sú niðurstaða sem skiptir máli, því engin ein stilling skráir hvers vegna hann var veittur.

Lestu það af lénsstýringunni sem VPN-þjónninn auðkennir sig í raun gagnvart. Töf í endurgerð getur sýnt gildi sem þjónninn hefur þegar skipt út, og úttekt sem vísar í úrelt DC-gildi verður mótmælt um leið og einhver athugar aftur.

Breyttu einum reikningi og sannaðu að breytingin hafi komist í gegn

Til að fjarlægja aðgang skaltu setja eigindið á FALSE í stað þess að hreinsa það. Hreinsun skilar reikningnum í stefnuerfð, sem kann að leyfa hann aftur við næstu tengingu, og breytingin lítur út eins og lagfæring þótt hún sé í raun önnur ákvörðun:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Önnur línan er endurstilling erfðarinnar, haldið aðskildu viljandi svo enginn rugli saman aðgerðunum tveimur. Staðfestu svo úr annarri setu, lestu eigindið aftur og athugaðu NPS-bókhaldsatburði vegna synjunarinnar í stað þess að treysta endurhleðslu stjórnborðsins.

Að lokum skaltu skrifa niður hvaða aðferð á ákvörðunina fyrir hverja fjartengingarþjónustu. Ef stefnan hunsar innhringieiginleika notandans er hópaskilyrðið ráðandi og eigindið aðeins leiðbeinandi fyrir þá þjónustu. Tvær þjónustur í sama léni geta lögmætlega svarað mismunandi, og yfirferðarskráin ætti að segja það í einni línu fyrir hverja þjónustu.

Úttakið sem lifir úttekt er stutt: hver má tengjast, með hvaða aðferð, hvenær farið yfir, af hverjum. Innhringiflaggið gefur fyrstu tvö svörin; aðeins yfirferð stefnunnar gefur afganginn.