Ким чалууга укуктуу? VPN кирүүдөн мурун msNPAllowDialin аудити

msNPAllowDialin үч абалга ээ, ал эми NULL чечимди NPSке калтырат. Желекчелерди экспорттоп, аларды топтук кирүүдөн бөлүп, ким эмнени караганын жазып коюңуз.

Сырсөз туура, эсеп VPN тобунда, бирок туташуу эч кандай саясатты атабаган билдирүү менен дагы эле четке кагылат. Бул Windows'тун алыскы кирүү серверинде болгондо, мен эң оболу NPS эрежесин эмес, эч ким ачпаган Active Directory атрибутун карайм: msNPAllowDialin, башкача айтканда Dial-in өтмөгүнүн артындагы маани. Анын үч абалы бар, үчүнчүсү чечимди унчукпай башка жерге өткөрүп берет. Көбүнчө эч ким аны атайылап өзгөрткөн эмес: эсеп үлгүдөн көчүрүлгөн же жылдар мурун ачык тыюу жазып, эч качан кайра каралбаган скрипт менен түзүлгөн.

Четке кагуу саясат окулганга чейин эле болушу мүмкүн

Windows авторизация чечимин түзүп жатканда эсептин чалуу укугун текшерет, ошондуктан ачык тыюу сүйлөшүүнү эрте бүтүрөт. Кардарда көргөнүңүз — жалпы аутентификация катасы, кээде сертификат алмашуу бүткөндөн кийин, ошондуктан адамдар эч качан көйгөй болбогон эсептик маалыматтарды текшерүүгө түштөн кийинки убакытты жумшашат.

Керчи абал да ушунчалык башаламандык келтирет. Желекче эч качан коюлбаган эсеп саясат уруксат бергендиктен ийгиликтүү туташып калышы мүмкүн, анан ошол эле эсеп бирөө NPS эрежесин байланышы жок себеп менен түзөткөндө туташууну токтотот. Бул эки окуянын эч бири сырттан чалуу укугунун өзгөрүшүнө окшошпойт.

Үч абал, үчүнчүсү көрүнбөйт

TRUE чалууга уруксат берет, FALSE аны четке кагат, ал эми NULL мааниси эсеп жообун алыскы кирүү саясатынан же NPS авторизациясынан мурас катары алаарын билдирет. GUI ошол үчүнчү абалды "Control access through NPS Network Policy" деп көрсөтөт, жана ал чечимден көрө белгиленбеген белги кутучасына окшоп окулат.

Ошондуктан консолдон уруксат берилген колдонуучуларды саноо дээрлик эч нерсе айтпайт. Мураскер эсеп бүгүн уруксат берилип, эртең эсепке кол тийгизбестен четке кагылышы мүмкүн, ал эми FALSE эсеп колдонуучунун чалуу касиеттерин этибарга албаган саясаты бар серверде дагы эле туташа алат. Атрибут менен саясатты чогуу окуңуз, болбосо чечимдин жарымын аудиттеп жатасыз.

Мураскер эсептерди жоготпостон желекчелерди экспорттоңуз

Экспортту домен контроллеринен же Active Directory модулу бар жумуш станциясынан иштетиңиз, жана корутундуну кайра терип жаткандан көрө чийки файлды далил катары сактаңыз:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Бир LDAP фильтрин өзгөртүү жазуусуна кыстыруу оңой. Бул болгону ачык уруксаттарды кайтарат:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Андан кийин чалуу шартысыз кайра сурап, мааниси жок эсептерди издеңиз. Ошолор мураскерлер, адатта домендеги эң чоң топ, жана аларды өткөрүп жиберсеңиз аудит бирөө кол менен жөндөөнү эстеп калган аз гана адамдардын тизмесине айланат.

Желекчени топтук кирүүдөн жана эсептин ден соолугунан бөлүңүз

Атрибут бир суроого жооп берет: бул эсеп чала алабы. Ал адам дагы эле ушул жерде иштейби, эсеп күйгүзүлгөнбү, же колдоо кызматынын жазуусунда жалпы сырсөз жатабы — бул тууралуу эч нерсе айтпайт. Экспортту күйгүзүлүү абалы, акыркы кирүү күнү жана серверге кирүү берген топ мүчөлүгү менен коштоп караңыз.

Сиз аракет кыла турган нерсе — айкалыштар. Өчүрүлгөн эсеп TRUE мааниси менен болгону ызы-чуу. Күйгүзүлгөн эсеп TRUE мааниси менен бир жыл кирбесе, жоюуга талапкер. Ал эми VPN тобунда эч ким түшүндүрө албаган мураскер эсеп — эң маанилүү табылга, анткени эч бир жекече жөндөө анын эмне үчүн берилгенин жазбайт.

Аны VPN сервери чынында аутентификация жасаган домен контроллеринен окуңуз. Репликациянын кечигүүсү сервер мурун эле алмаштырган маанини көрсөтүшү мүмкүн, ал эми эскирген DC маанисин келтирген аудит бирөө кайра текшерген учурда талашка түшөт.

Бир эсепти өзгөртүп, өзгөрүү жеткенин далилдеңиз

Кирүүнү алуу үчүн атрибутту FALSE маанисине коюңуз, аны тазалоонун ордуна. Тазалоо эсепти саясат мурасына кайтарат, ал кийинки туташууда ага кайра уруксат бериши мүмкүн, жана өзгөрүү оңдоо сыяктуу көрүнөт, бирок чындыгында башка чечим:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Экинчи сап — мурастын кайра коюлушу, эки операцияны эч ким чаташтырбашы үчүн атайылап өзүнчө кармалган. Андан кийин экинчи сессиядан ырастаңыз, атрибутту кайра окуңуз жана консолдун жаңыртылышына ишенүүнүн ордуна четке кагуу үчүн NPS эсеп окуяларын текшериңиз.

Акырында, ар бир алыскы кирүү кызматы үчүн чечим кайсы механизмге таандык экенин жазыңыз. Эгер саясат колдонуучунун чалуу касиеттерин этибарга албаса, топ шарты ыйгарымдуу, ал эми атрибут ошол кызмат үчүн гана кеңеш берүүчү мүнөздө. Бир домендеги эки кызмат мыйзамдуу түрдө башкача жооп бериши мүмкүн, жана кароо жазуусу муну ар бир кызмат үчүн бир сапта айтышы керек.

Аудиттен өткөн натыйжа кыска: ким туташа алат, кайсы механизм менен, качан каралды, ким тарабынан. Чалуу желекчеси биринчи эки жоопту берет; калганын саясатты кароо гана берет.

Тектеш макалалар