ಯಾರು ಡಯಲ್ ಇನ್ ಮಾಡಬಹುದು? VPN ಪ್ರವೇಶಕ್ಕೆ ಮೊದಲು msNPAllowDialin ಆಡಿಟ್

ಪಾಸ್ವರ್ಡ್ ಸರಿಯಾಗಿದೆ, ಖಾತೆ VPN ಗುಂಪಿನಲ್ಲಿದೆ, ಆದರೂ ಸಂಪರ್ಕವನ್ನು ಯಾವುದೇ ನೀತಿಯನ್ನು ಉಲ್ಲೇಖಿಸದ ಸಂದೇಶದೊಂದಿಗೆ ನಿರಾಕರಿಸಲಾಗುತ್ತಿದೆ. ಇದು Windows ರಿಮೋಟ್-ಆಕ್ಸೆಸ್ ಸರ್ವರ್ನಲ್ಲಿ ಸಂಭವಿಸಿದಾಗ, ನಾನು ಮೊದಲು ನೋಡುವುದು NPS ನಿಯಮವಲ್ಲ, ಯಾರೂ ತೆರೆಯದ Active Directory ಗುಣಲಕ್ಷಣವೊಂದು: msNPAllowDialin, ಅಂದರೆ Dial-in ಟ್ಯಾಬ್ನ ಹಿಂದಿನ ಮೌಲ್ಯ. ಇದಕ್ಕೆ ಮೂರು ಸ್ಥಿತಿಗಳಿವೆ, ಮತ್ತು ಮೂರನೆಯದು ನಿರ್ಧಾರವನ್ನು ಮೆಲ್ಲನೆ ಬೇರೆಡೆಗೆ ಒಪ್ಪಿಸುತ್ತದೆ. ಬಹುತೇಕ ಸಮಯ ಯಾರೂ ಇದನ್ನು ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಬದಲಿಸಿಲ್ಲ: ಖಾತೆಯನ್ನು ಟೆಂಪ್ಲೇಟ್ನಿಂದ ಕ್ಲೋನ್ ಮಾಡಲಾಗಿತ್ತು, ಅಥವಾ ವರ್ಷಗಳ ಹಿಂದೆ ಸ್ಪಷ್ಟ ನಿಷೇಧವನ್ನು ಬರೆದ ಮತ್ತು ಎಂದೂ ಪರಿಶೀಲಿಸದ ಸ್ಕ್ರಿಪ್ಟ್ನಿಂದ ರಚಿಸಲಾಗಿತ್ತು.

ನೀತಿ ಓದುವ ಮೊದಲೇ ನಿರಾಕರಣೆ ಸಂಭವಿಸಬಹುದು

Windows ಅಧಿಕಾರ ನಿರ್ಧಾರವನ್ನು ನಿರ್ಮಿಸುವಾಗ ಖಾತೆಯ ಡಯಲ್-ಇನ್ ಅನುಮತಿಯನ್ನು ಪರಿಶೀಲಿಸುತ್ತದೆ, ಆದ್ದರಿಂದ ಸ್ಪಷ್ಟ ನಿಷೇಧವು ಸಂಭಾಷಣೆಯನ್ನು ಬೇಗ ಮುಗಿಸುತ್ತದೆ. ಕ್ಲೈಂಟ್ನಲ್ಲಿ ಕಾಣುವುದು ಸಾಮಾನ್ಯ ದೃಢೀಕರಣ ವೈಫಲ್ಯ, ಕೆಲವೊಮ್ಮೆ ಪ್ರಮಾಣಪತ್ರ ವಿನಿಮಯ ಮುಗಿದ ನಂತರ, ಮತ್ತು ಅದಕ್ಕಾಗಿಯೇ ಜನರು ಎಂದೂ ಸಮಸ್ಯೆಯಾಗದ ರುಜುವಾತುಗಳನ್ನು ಪರೀಕ್ಷಿಸುವುದರಲ್ಲಿ ಮಧ್ಯಾಹ್ನವನ್ನೆಲ್ಲಾ ಕಳೆಯುತ್ತಾರೆ.

ವಿರುದ್ಧ ಪ್ರಕರಣವೂ ಅಷ್ಟೇ ಗೊಂದಲಮಯ. ಫ್ಲ್ಯಾಗ್ ಎಂದೂ ಸೆಟ್ ಆಗದ ಖಾತೆಯು ನೀತಿ ಅನುಮತಿಸಿದ್ದರಿಂದ ಯಶಸ್ವಿಯಾಗಿ ಸಂಪರ್ಕಿಸಬಹುದು, ನಂತರ ಯಾರಾದರೂ ಸಂಬಂಧವಿಲ್ಲದ ಕಾರಣಕ್ಕೆ NPS ನಿಯಮವನ್ನು ಸಂಪಾದಿಸಿದಾಗ ಅದೇ ಖಾತೆ ಸಂಪರ್ಕಿಸುವುದನ್ನು ನಿಲ್ಲಿಸುತ್ತದೆ. ಎರಡೂ ಘಟನೆಗಳಲ್ಲಿ ಯಾವುದೂ ಹೊರಗಿನಿಂದ ಡಯಲ್-ಇನ್ ಅನುಮತಿಯ ಬದಲಾವಣೆಯಂತೆ ಕಾಣುವುದಿಲ್ಲ.

ಮೂರು ಸ್ಥಿತಿಗಳು, ಮತ್ತು ಮೂರನೆಯದು ಅಗೋಚರ

TRUE ಡಯಲ್-ಇನ್ ಅನ್ನು ಅನುಮತಿಸುತ್ತದೆ, FALSE ಅದನ್ನು ನಿರಾಕರಿಸುತ್ತದೆ, ಮತ್ತು NULL ಮೌಲ್ಯ ಎಂದರೆ ಖಾತೆಯು ತನ್ನ ಉತ್ತರವನ್ನು ರಿಮೋಟ್ ಆಕ್ಸೆಸ್ ನೀತಿ ಅಥವಾ NPS ಅಧಿಕಾರದಿಂದ ಬಳುವಳಿಯಾಗಿ ಪಡೆಯುತ್ತದೆ. GUI ಆ ಮೂರನೆಯ ಸ್ಥಿತಿಯನ್ನು "Control access through NPS Network Policy" ಎಂದು ತೋರಿಸುತ್ತದೆ, ಮತ್ತು ಅದು ನಿರ್ಧಾರಕ್ಕಿಂತ ಹೆಚ್ಚಾಗಿ ಗುರುತಿಸದ ಚೆಕ್ಬಾಕ್ಸ್ನಂತೆ ಓದುತ್ತದೆ.

ಆದ್ದರಿಂದ ಕನ್ಸೋಲ್ನಿಂದ ಅನುಮತಿಸಿದ ಬಳಕೆದಾರರನ್ನು ಎಣಿಸುವುದು ಬಹುತೇಕ ಏನನ್ನೂ ಹೇಳುವುದಿಲ್ಲ. ಬಳುವಳಿಯ ಖಾತೆಯು ಇಂದು ಅನುಮತಿಸಲ್ಪಟ್ಟು ನಾಳೆ ಖಾತೆಗೆ ಮುಟ್ಟದೆಯೇ ನಿರಾಕರಿಸಲ್ಪಡಬಹುದು, ಮತ್ತು FALSE ಖಾತೆಯು ಬಳಕೆದಾರರ ಡಯಲ್-ಇನ್ ಗುಣಲಕ್ಷಣಗಳನ್ನು ನಿರ್ಲಕ್ಷಿಸಲು ಸಿದ್ಧವಾದ ನೀತಿಯ ಸರ್ವರ್ನಲ್ಲಿ ಇನ್ನೂ ಸಂಪರ್ಕಿಸಬಹುದು. ಗುಣಲಕ್ಷಣ ಮತ್ತು ನೀತಿಯನ್ನು ಒಟ್ಟಿಗೆ ಓದಿ, ಇಲ್ಲದಿದ್ದರೆ ನೀವು ಅರ್ಧ ನಿರ್ಧಾರವನ್ನು ಆಡಿಟ್ ಮಾಡುತ್ತಿದ್ದೀರಿ.

ಬಳುವಳಿಯ ಖಾತೆಗಳನ್ನು ಕಳೆದುಕೊಳ್ಳದೆ ಫ್ಲ್ಯಾಗ್ಗಳನ್ನು ರಫ್ತು ಮಾಡಿ

ರಫ್ತನ್ನು ಡೊಮೇನ್ ನಿಯಂತ್ರಕದಿಂದ, ಅಥವಾ Active Directory ಮಾಡ್ಯೂಲ್ ಇರುವ ವರ್ಕ್ಸ್ಟೇಷನ್ನಿಂದ ಚಲಾಯಿಸಿ, ಮತ್ತು ಸಾರಾಂಶವನ್ನು ಮತ್ತೆ ಟೈಪ್ ಮಾಡುವ ಬದಲು ಕಚ್ಚಾ ಫೈಲನ್ನು ಸಾಕ್ಷ್ಯವಾಗಿ ಇರಿಸಿ:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

ಒಂದೇ LDAP ಫಿಲ್ಟರ್ ಬದಲಾವಣೆ ದಾಖಲೆಗೆ ಅಂಟಿಸಲು ಸುಲಭ. ಇದು ಸ್ಪಷ್ಟ ಅನುಮತಿಗಳನ್ನು ಮಾತ್ರ ಹಿಂತಿರುಗಿಸುತ್ತದೆ:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

ನಂತರ ಡಯಲ್-ಇನ್ ಷರತ್ತಿಲ್ಲದೆ ಮತ್ತೆ ಪ್ರಶ್ನಿಸಿ ಮತ್ತು ಮೌಲ್ಯವಿಲ್ಲದ ಖಾತೆಗಳನ್ನು ಹುಡುಕಿ. ಅವು ಬಳುವಳಿಯವು, ಸಾಮಾನ್ಯವಾಗಿ ಡೊಮೇನ್ನ ಅತಿದೊಡ್ಡ ಗುಂಪು, ಮತ್ತು ಅವನ್ನು ಬಿಟ್ಟುಬಿಟ್ಟರೆ ಆಡಿಟ್ ಯಾರೋ ಕೈಯಿಂದ ಸೆಟ್ ಮಾಡಲು ನೆನಪಿಟ್ಟ ಕೆಲವೇ ಜನರ ಪಟ್ಟಿಯಾಗುತ್ತದೆ.

ಫ್ಲ್ಯಾಗ್ ಅನ್ನು ಗುಂಪು ಪ್ರವೇಶ ಮತ್ತು ಖಾತೆಯ ಆರೋಗ್ಯದಿಂದ ಬೇರ್ಪಡಿಸಿ

ಗುಣಲಕ್ಷಣ ಒಂದು ಪ್ರಶ್ನೆಗೆ ಉತ್ತರಿಸುತ್ತದೆ: ಈ ಖಾತೆ ಡಯಲ್ ಇನ್ ಮಾಡಬಹುದೇ. ವ್ಯಕ್ತಿ ಇನ್ನೂ ಇಲ್ಲಿ ಕೆಲಸ ಮಾಡುತ್ತಾರೆಯೇ, ಖಾತೆ ಸಕ್ರಿಯವಾಗಿದೆಯೇ, ಅಥವಾ ಸಹಾಯ ಕೇಂದ್ರದ ಟಿಪ್ಪಣಿಯಲ್ಲಿ ಹಂಚಿದ ಪಾಸ್ವರ್ಡ್ ಇದೆಯೇ ಎಂಬುದನ್ನು ಅದು ಹೇಳುವುದಿಲ್ಲ. ರಫ್ತನ್ನು ಸಕ್ರಿಯ ಸ್ಥಿತಿ, ಕೊನೆಯ ಲಾಗಿನ್ ದಿನಾಂಕ ಮತ್ತು ಸರ್ವರ್ಗೆ ಪ್ರವೇಶ ನೀಡುವ ಗುಂಪು ಸದಸ್ಯತ್ವದೊಂದಿಗೆ ಜೋಡಿಸಿ.

ನೀವು ಕ್ರಮ ತೆಗೆದುಕೊಳ್ಳುವುದು ಸಂಯೋಜನೆಗಳ ಆಧಾರದ ಮೇಲೆ. ನಿಷ್ಕ್ರಿಯ ಖಾತೆ TRUE ಜೊತೆಗೆ ಕೇವಲ ಗದ್ದಲ. ಸಕ್ರಿಯ ಖಾತೆ TRUE ಜೊತೆಗೆ ಒಂದು ವರ್ಷ ಲಾಗಿನ್ ಆಗದಿದ್ದರೆ ಅದು ತೆಗೆದುಹಾಕಲು ಅಭ್ಯರ್ಥಿ. ಆದರೆ VPN ಗುಂಪಿನಲ್ಲಿರುವ, ಯಾರೂ ವಿವರಿಸಲಾಗದ ಬಳುವಳಿಯ ಖಾತೆಯೇ ನಿಜವಾದ ಮಹತ್ವದ ಕಂಡುಹಿಡಿಯುವಿಕೆ, ಏಕೆಂದರೆ ಅದು ಏಕೆ ನೀಡಲಾಯಿತು ಎಂದು ಯಾವುದೇ ಒಂದು ಸೆಟ್ಟಿಂಗ್ ದಾಖಲಿಸುವುದಿಲ್ಲ.

ಅದನ್ನು VPN ಸರ್ವರ್ ನಿಜವಾಗಿ ದೃಢೀಕರಿಸುವ ಡೊಮೇನ್ ನಿಯಂತ್ರಕದಿಂದ ಓದಿ. ಪ್ರತಿಕೃತಿ ವಿಳಂಬವು ಸರ್ವರ್ ಈಗಾಗಲೇ ಬದಲಿಸಿದ ಮೌಲ್ಯವನ್ನು ತೋರಿಸಬಹುದು, ಮತ್ತು ಹಳೆಯ DC ಮೌಲ್ಯವನ್ನು ಉಲ್ಲೇಖಿಸುವ ಆಡಿಟ್ ಯಾರಾದರೂ ಮತ್ತೆ ಪರಿಶೀಲಿಸಿದ ಕ್ಷಣದಲ್ಲಿ ಪ್ರಶ್ನಿಸಲ್ಪಡುತ್ತದೆ.

ಒಂದು ಖಾತೆಯನ್ನು ಬದಲಿಸಿ ಮತ್ತು ಬದಲಾವಣೆ ತಲುಪಿದೆ ಎಂದು ಸಾಬೀತುಪಡಿಸಿ

ಪ್ರವೇಶ ತೆಗೆದುಹಾಕಲು ಗುಣಲಕ್ಷಣವನ್ನು FALSE ಗೆ ಹೊಂದಿಸಿ, ಅದನ್ನು ಅಳಿಸುವ ಬದಲು. ಅಳಿಸುವುದು ಖಾತೆಯನ್ನು ನೀತಿ-ಬಳುವಳಿಗೆ ಹಿಂತಿರುಗಿಸುತ್ತದೆ, ಅದು ಮುಂದಿನ ಸಂಪರ್ಕದಲ್ಲಿ ಮತ್ತೆ ಅನುಮತಿಸಬಹುದು, ಮತ್ತು ಬದಲಾವಣೆ ಸರಿಪಡಿಸುವಿಕೆಯಂತೆ ಕಾಣುತ್ತದೆ ಆದರೆ ವಾಸ್ತವವಾಗಿ ಅದು ಬೇರೆ ನಿರ್ಧಾರ:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

ಎರಡನೇ ಸಾಲು ಬಳುವಳಿಯ ಮರುಹೊಂದಿಕೆ, ಎರಡೂ ಕಾರ್ಯಾಚರಣೆಗಳನ್ನು ಯಾರೂ ಗೊಂದಲಿಸದಂತೆ ಉದ್ದೇಶಪೂರ್ವಕವಾಗಿ ಪ್ರತ್ಯೇಕವಾಗಿ ಇಡಲಾಗಿದೆ. ನಂತರ ಎರಡನೇ ಅಧಿವೇಶನದಿಂದ ದೃಢೀಕರಿಸಿ, ಗುಣಲಕ್ಷಣವನ್ನು ಮತ್ತೆ ಓದಿ, ಮತ್ತು ಕನ್ಸೋಲ್ನ ರಿಫ್ರೆಶ್ ಅನ್ನು ನಂಬುವ ಬದಲು ನಿರಾಕರಣೆಗಾಗಿ NPS ಲೆಕ್ಕಪತ್ರ ಘಟನೆಗಳನ್ನು ಪರಿಶೀಲಿಸಿ.

ಕೊನೆಯದಾಗಿ, ಪ್ರತಿ ರಿಮೋಟ್-ಆಕ್ಸೆಸ್ ಸೇವೆಗೆ ಯಾವ ವ್ಯವಸ್ಥೆ ನಿರ್ಧಾರದ ಮಾಲೀಕ ಎಂದು ಬರೆಯಿರಿ. ನೀತಿಯು ಬಳಕೆದಾರರ ಡಯಲ್-ಇನ್ ಗುಣಲಕ್ಷಣಗಳನ್ನು ನಿರ್ಲಕ್ಷಿಸಿದರೆ, ಗುಂಪು ಷರತ್ತೇ ಅಧಿಕೃತ ಮತ್ತು ಗುಣಲಕ್ಷಣವು ಆ ಸೇವೆಗೆ ಮಾತ್ರ ಸಲಹಾ ಸ್ವರೂಪದ್ದು. ಒಂದೇ ಡೊಮೇನ್ನ ಎರಡು ಸೇವೆಗಳು ಕಾನೂನುಬದ್ಧವಾಗಿ ಬೇರೆ ಬೇರೆ ಉತ್ತರ ನೀಡಬಹುದು, ಮತ್ತು ಪರಿಶೀಲನಾ ದಾಖಲೆ ಅದನ್ನು ಪ್ರತಿ ಸೇವೆಗೆ ಒಂದು ಸಾಲಿನಲ್ಲಿ ಹೇಳಬೇಕು.

ಆಡಿಟ್ನಲ್ಲಿ ಉಳಿಯುವ ಫಲಿತಾಂಶ ಚಿಕ್ಕದು: ಯಾರು ಸಂಪರ್ಕಿಸಬಹುದು, ಯಾವ ವ್ಯವಸ್ಥೆಯಲ್ಲಿ, ಯಾವಾಗ ಪರಿಶೀಲಿಸಲಾಯಿತು, ಯಾರಿಂದ. ಡಯಲ್-ಇನ್ ಫ್ಲ್ಯಾಗ್ ಮೊದಲ ಎರಡು ಉತ್ತರಗಳನ್ನು ನೀಡುತ್ತದೆ; ಉಳಿದದ್ದನ್ನು ನೀತಿಯ ಪರಿಶೀಲನೆ ಮಾತ್ರ ನೀಡುತ್ತದೆ.