ვის შეუძლია დარეკვა? msNPAllowDialin-ის აუდიტი VPN-ზე წვდომამდე

პაროლი სწორია, ანგარიში VPN ჯგუფშია, და კავშირი მაინც უარყოფილია შეტყობინებით, რომელიც არავითარ პოლიტიკას არ იხსენიებს. როცა ეს Windows-ის დისტანციური წვდომის სერვერზე ხდება, პირველი ადგილი, სადაც ვიხედები, NPS-ის წესი არ არის, არამედ Active Directory-ის ერთი ატრიბუტი, რომელსაც არავინ ხსნის: msNPAllowDialin, Dial-in ჩანართის უკან არსებული მნიშვნელობა. მას სამი მდგომარეობა აქვს და მესამე ჩუმად გადასცემს გადაწყვეტილებას სხვა ადგილს. უმეტესად არავის შეუცვლია ის განზრახ: ანგარიში შაბლონიდან დაკოპირდა, ან შეიქმნა სკრიპტით, რომელმაც წლების წინ აშკარა უარი ჩაწერა და აღარასდროს გადაუხედავს.

უარი შეიძლება მოხდეს პოლიტიკის წაკითხვამდე

Windows ამოწმებს ანგარიშის დარეკვის ნებართვას, სანამ ავტორიზაციის გადაწყვეტილებას აგებს, ამიტომ აშკარა უარი საუბარს ადრევე ამთავრებს. რასაც კლიენტზე ხედავთ, ზოგადი ავთენტიფიკაციის შეცდომაა, ზოგჯერ სერტიფიკატების გაცვლის დასრულების შემდეგ, და ამიტომაც ატარებენ ადამიანები ნახევარ დღეს იმ მონაცემების შემოწმებაში, რომლებიც არასდროს ყოფილა პრობლემა.

საპირისპირო შემთხვევა ისეთივე დამაბნეველია. ანგარიში, რომელზეც დროშა არასდროს დაყენებულა, შეიძლება წარმატებით დაუკავშირდეს, რადგან პოლიტიკა უშვებდა, შემდეგ კი იგივე ანგარიში წყვეტს დაკავშირებას, როცა ვიღაც უკავშირო მიზეზით არედაქტირებს NPS-ის წესს. ორივე მოვლენა გარედან დარეკვის ნებართვის ცვლილებად არ გამოიყურება.

სამი მდგომარეობა, და მესამე უხილავია

TRUE დარეკვის უფლებას იძლევა, FALSE მას უარყოფს, და NULL ნიშნავს, რომ ანგარიში პასუხს მემკვიდრეობით იღებს დისტანციური წვდომის პოლიტიკისგან ან NPS-ის ავტორიზაციისგან. GUI ამ მესამე მდგომარეობას აჩვენებს როგორც "Control access through NPS Network Policy", და ის უფრო გამორთული მოსანიშნი უჯრის, ვიდრე გადაწყვეტილების მსგავსად იკითხება.

ამიტომ კონსოლიდან ნებადართული მომხმარებლების დათვლა თითქმის არაფერს გეუბნებათ. მემკვიდრეობით მიღებული ანგარიში დღეს ნებადართული და ხვალ უარყოფილი შეიძლება იყოს ანგარიშზე ხელის შეუხებლად, და FALSE ანგარიში კვლავ შეიძლება დაუკავშირდეს სერვერს, რომლის პოლიტიკა მომხმარებლის დარეკვის თვისებების უგულებელყოფაზეა გამართული. წაიკითხეთ ატრიბუტი და პოლიტიკა ერთად, თორემ გადაწყვეტილების ნახევარს აუდიტობთ.

დროშები ექსპორტში გაიტანეთ მემკვიდრეობითი ანგარიშების დაკარგვის გარეშე

ექსპორტი გაუშვით დომენის კონტროლერიდან ან სამუშაო სადგურიდან Active Directory მოდულით, და ნედლი ფაილი შეინახეთ მტკიცებულებად, ნაცვლად იმისა, რომ შეჯამება თავიდან აკრიფოთ:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

ერთი LDAP ფილტრი უფრო ადვილად ჩასვამთ ცვლილების ჩანაწერში. ეს მხოლოდ აშკარა ნებართვებს აბრუნებს:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

შემდეგ დარეკვის პუნქტის გარეშე ხელახლა მოითხოვეთ და მოძებნეთ ანგარიშები, რომელთა მნიშვნელობაც აკლია. სწორედ ისინი არიან მემკვიდრეობითი, ჩვეულებრივ დომენში ყველაზე დიდი ჯგუფი, და მათი გამოტოვება აუდიტს აქცევს იმ რამდენიმე ადამიანის სიად, რომლებიც ვიღაცამ ხელით დაყენება გაიხსენა.

გამოყავით დროშა ჯგუფური წვდომისგან და ანგარიშის ჯანმრთელობისგან

ატრიბუტი პასუხობს ერთ კითხვას: შეუძლია ამ ანგარიშს დარეკვა. ის არაფერს ამბობს იმაზე, მუშაობს თუ არა ადამიანი ჯერ კიდევ აქ, ჩართულია თუ არა ანგარიში, ან დევს თუ არა საერთო პაროლი დახმარების სამსახურის ჩანაწერში. დააკავშირეთ ექსპორტი ჩართულობის მდგომარეობას, ბოლო შესვლის თარიღს და ჯგუფურ წევრობას, რომელიც სერვერზე წვდომას იძლევა.

მოქმედებთ კომბინაციების მიხედვით. გამორთული ანგარიში TRUE მნიშვნელობით მხოლოდ ხმაურია. ჩართული ანგარიში TRUE მნიშვნელობით, რომელსაც წელიწადია არ შესულა, წაშლის კანდიდატია. ხოლო VPN ჯგუფში მემკვიდრეობითი ანგარიში, რომლის ახსნაც არავის შეუძლია, სწორედ ის მთავარი აღმოჩენაა, რადგან არც ერთი ცალკეული პარამეტრი არ იწერს, რატომ მიეცა ის.

წაიკითხეთ ის დომენის კონტროლერიდან, რომლის წინააღმდეგაც VPN სერვერი რეალურად ავთენტიფიცირდება. რეპლიკაციის დაყოვნებამ შეიძლება აჩვენოს მნიშვნელობა, რომელიც სერვერმა უკვე შეცვალა, და მოძველებულ DC მნიშვნელობაზე დაფუძნებული აუდიტი გასაჩივრდება იმ წუთს, როცა ვინმე ხელახლა შეამოწმებს.

შეცვალეთ ერთი ანგარიში და დაამტკიცეთ, რომ ცვლილება მივიდა

წვდომის მოსახსნელად დააყენეთ ატრიბუტი FALSE მნიშვნელობაზე, ნაცვლად მისი გასუფთავებისა. გასუფთავება ანგარიშს უბრუნებს პოლიტიკის მემკვიდრეობას, რომელმაც შეიძლება ის კვლავ დაუშვას შემდეგ კავშირზე, და ცვლილება გამოსწორებას ჰგავს, სინამდვილეში კი სხვა გადაწყვეტილებაა:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

მეორე ხაზი მემკვიდრეობის გადატვირთვაა, განზრახ ცალკე შენახული, რომ არავინ აურიოს ორი ოპერაცია. შემდეგ დაადასტურეთ მეორე სესიიდან, ხელახლა წაიკითხეთ ატრიბუტი და უარის გამო შეამოწმეთ NPS-ის აღრიცხვის მოვლენები, ნაცვლად კონსოლის განახლებისადმი ნდობისა.

ბოლოს ჩაწერეთ, რომელი მექანიზმი ფლობს გადაწყვეტილებას თითოეული დისტანციური წვდომის სერვისისთვის. თუ პოლიტიკა უგულებელყოფს მომხმარებლის დარეკვის თვისებებს, ჯგუფური პირობაა ავტორიტეტული და ატრიბუტი მხოლოდ საკონსულტაციოა იმ სერვისისთვის. ერთ დომენში ორ სერვისს შეუძლია ლეგიტიმურად განსხვავებულად უპასუხოს, და განხილვის ჩანაწერმა ეს თითოეული სერვისისთვის ერთ ხაზში უნდა თქვას.

აუდიტს გადარჩენილი შედეგი მოკლეა: ვის შეუძლია დაკავშირება, რომელი მექანიზმით, როდის გადაიხედა, ვის მიერ. დარეკვის დროშა პირველ ორ პასუხს იძლევა; დანარჩენს მხოლოდ პოლიტიკის განხილვა იძლევა.