Кім қоңырау шала алады? VPN қатынасы алдында msNPAllowDialin аудиті

msNPAllowDialin үш күйге ие, ал NULL шешімді NPS-ке қалдырады. Жалаушаларды экспорттап, оларды топтық қатынастан бөліп, кім нені қарағанын жазып қойыңыз.

Құпия сөз дұрыс, тіркелгі VPN тобында, бірақ қосылым ешбір саясатты атамайтын хабармен әлі де қабылданбайды. Бұл Windows қашықтан қатынау серверінде болғанда, мен ең алдымен NPS ережесін емес, ешкім ашпайтын Active Directory атрибутын қараймын: msNPAllowDialin, яғни Dial-in қойындысының артындағы мән. Оның үш күйі бар, ал үшіншісі шешімді үнсіз басқа жерге тапсырады. Көбінесе ешкім оны әдейі өзгертпеген: тіркелгі үлгіден көшірілген немесе жылдар бұрын айқын тыйым жазған және ешқашан қайта қаралмаған скриптпен жасалған.

Бас тарту саясат оқылмай тұрып болуы мүмкін

Windows авторизация шешімін құру кезінде тіркелгінің қоңырау шалу рұқсатын тексереді, сондықтан айқын тыйым әңгімені ерте аяқтайды. Клиентте көргеніңіз — жалпы аутентификация қатесі, кейде сертификат алмасуы аяқталғаннан кейін, сондықтан адамдар түстен кейінгі уақытты ешқашан мәселе болмаған тіркелгі деректерін тексеруге жұмсайды.

Кері жағдай да сол сияқты шатастырады. Жалауша ешқашан орнатылмаған тіркелгі саясат рұқсат еткендіктен сәтті қосылуы мүмкін, содан кейін сол тіркелгі біреу NPS ережесін байланыссыз себеппен өңдегенде қосылуды тоқтатады. Бұл екі оқиғаның ешқайсысы сырттан қоңырау шалу рұқсатының өзгеруіне ұқсамайды.

Үш күй, ал үшіншісі көрінбейді

TRUE қоңырау шалуға рұқсат етеді, FALSE оны қабылдамайды, ал NULL мәні тіркелгінің жауабын қашықтан қатынау саясатынан немесе NPS авторизациясынан мұраға алатынын білдіреді. GUI сол үшінші күйді "Control access through NPS Network Policy" деп көрсетеді, және ол шешімнен гөрі белгіленбеген құсбелгі сияқты оқылады.

Сондықтан консольден рұқсат етілген қолданушыларды санау дерлік ештеңе айтпайды. Мұраланған тіркелгі бүгін рұқсат етіліп, ертең тіркелгіге қол тигізбестен қабылданбауы мүмкін, ал FALSE тіркелгі пайдаланушының қоңырау шалу қасиеттерін елемейтін саясаты бар серверде әлі де қосыла алады. Атрибут пен саясатты бірге оқыңыз, әйтпесе шешімнің жартысын аудиттейсіз.

Мұраланған тіркелгілерді жоғалтпай жалаушаларды экспорттаңыз

Экспортты домен контроллерінен немесе Active Directory модулі бар жұмыс станциясынан іске қосыңыз, және түйіндемені қайта теру орнына шикі файлды дәлел ретінде сақтаңыз:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Бір LDAP сүзгісін өзгеріс жазбасына қою оңайырақ. Бұл тек айқын рұқсаттарды қайтарады:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Содан кейін қоңырау шартынсыз қайта сұраныс жасап, мәні жоқ тіркелгілерді іздеңіз. Олар — мұраланғандар, әдетте домендегі ең үлкен топ, және оларды өткізіп жіберу аудитті біреу қолмен баптауды есте қалдырған бірнеше адамның тізіміне айналдырады.

Жалаушаны топтық қатынастан және тіркелгі денсаулығынан бөліңіз

Атрибут бір сұраққа жауап береді: бұл тіркелгі қоңырау шала ала ма. Ол адам әлі осында жұмыс істей ме, тіркелгі қосылған ба, немесе қолдау қызметінің жазбасында ортақ құпия сөз жатыр ма — бұл туралы ештеңе айтпайды. Экспортты қосылу күйімен, соңғы кіру күнімен және серверге қатынау беретін топ мүшелігімен жұптаңыз.

Сіз әрекет ететін нәрсе — комбинациялар. Өшірілген тіркелгі TRUE мәнімен тек шу. Қосылған тіркелгі TRUE мәнімен бір жыл кірмеген болса, жоюға үміткер. Ал VPN тобындағы ешкім түсіндіре алмайтын мұраланған тіркелгі — нағыз маңызды табылым, себебі ешбір жеке параметр оның не үшін берілгенін жазбайды.

Оны VPN сервері шын мәнінде аутентификация жасайтын домен контроллерінен оқыңыз. Репликация кешігуі сервер қазірдің өзінде ауыстырған мәнді көрсетуі мүмкін, ал ескірген DC мәніне сілтеме жасаған аудит біреу қайта тексерген сәтте дауласады.

Бір тіркелгіні өзгертіп, өзгерістің жеткенін дәлелдеңіз

Қатынауды алу үшін атрибутты FALSE мәніне қойыңыз, оны тазалаудың орнына. Тазалау тіркелгіні саясат мұрасына қайтарады, ол келесі қосылымда оны қайта рұқсат етуі мүмкін, және өзгеріс түзету сияқты көрінеді, шын мәнінде басқа шешім болса да:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Екінші жол — мұраны қалпына келтіру, екі операцияны ешкім шатастырмауы үшін әдейі бөлек ұсталған. Содан кейін екінші сессиядан растаңыз, атрибутты қайта оқыңыз және консольдің жаңаруына сенудің орнына бас тарту үшін NPS есепке алу оқиғаларын тексеріңіз.

Соңында, әр қашықтан қатынау қызметі үшін шешім қай механизмге тиесілі екенін жазыңыз. Егер саясат пайдаланушының қоңырау шалу қасиеттерін елемейтін болса, топ шарты өкілетті, ал атрибут тек сол қызмет үшін кеңесші сипатта. Бір домендегі екі қызмет заңды түрде басқаша жауап беруі мүмкін, және қарау жазбасы мұны әр қызмет үшін бір жолда айтуы керек.

Аудиттен өтетін нәтиже қысқа: кім қосыла алады, қандай механизммен, қашан қаралды, кіммен. Қоңырау шалу жалаушасы алғашқы екі жауапты береді; қалғанын тек саясатты қарау береді.

Қатысты мақалалар