Wien däerf sech anwielen? Audit vum msNPAllowDialin virum VPN-Zougang

Den msNPAllowDialin huet dräi Zoustänn, an en NULL iwwerléisst d’Entscheedung dem NPS. Exportéiert d’Fändelen, trennt se vum Gruppenzougang an notéiert, wien wat nogekuckt huet.

D’Passwuert ass richteg, de Kont ass an der VPN-Grupp, an d’Verbindung gëtt trotzdem mat enger Noriicht ofgeleent, déi keng Richtlinn ernimmt. Wann dat op engem Windows-Server fir Fernzougang geschitt, ass déi éischt Plaz, wou ech kucken, net d’NPS-Reeg, mä een Active Directory-Attribut, dat keen opmécht: msNPAllowDialin, de Wäert hannert dem Dial-in-Tab. Et huet dräi Zoustänn, an den drëtten iwwergëtt d’Entscheedung roueg un eng aner Plaz. Meeschtens huet kee se bewosst geännert: de Kont gouf aus enger Schabloun geklont oder vun engem Skript ugeluecht, dat viru Joren eng ausdrécklech Oflehnung geschriwwen huet an ni erëm nogekuckt gouf.

D’Oflehnung kann geschéien, ier d’Richtlinn gelies gëtt

Windows iwwerpréift d’Anwielberechtegung vum Kont, während et d’Autorisatiounsentscheedung opbaut, dofir enner an eng ausdrécklech Oflehnung d’Gespréich fréi. Wat dir um Client gesitt, ass e generelle Authentifikatiounsfehler, heiansdo nodeems den Zertifikatsaustausch fäerdeg ass, an dofir verbréngen d’Leit en Nomëtteg domat, Umeldungsinformatiounen ze testen, déi ni de Problem waren.

De Géigefall ass grad esou verwirrend. E Kont, op deem de Fändel ni gesat gouf, kann e fäerdeg verbannen, well d’Richtlinn et erlaabt huet, an duerno hält de selwechte Kont op ze verbannen, wann een d’NPS-Reeg aus engem onofhängege Grond ännert. Kee vun deenen zwee Evenementer gesäit vun bausse wéi eng Ännerung vun der Anwielberechtegung aus.

Dräi Zoustänn, an den drëtten ass onsiichtbar

TRUE erlaabt d’Anwielen, FALSE leent et of, an en NULL heescht, datt de Kont seng Äntwert vun der Richtlinn fir Fernzougang oder vun der NPS-Autorisatioun ierft. D’GUI weist deen drëtten Zoustand als "Control access through NPS Network Policy", an en liest sech wéi eng net gesat Këscht amplaz vun enger Entscheedung.

Dofir seet et bal näischt, erlaabte Benotzer aus der Konsole ze zielen. En ierfleche Kont kann haut erlaabt an muer ofgeleent sinn, ouni datt de Kont ugepaakt gëtt, an en FALSE Kont kann sech ëmmer nach op engem Server verbannen, deem seng Richtlinn agestallt ass, d’Anwielpropriétéite vum Benotzer z’ignoréieren. Liest den Attribut an d’Richtlinn zesummen, soss auditéiert dir d’Halschent vun enger Entscheedung.

Exportéiert d’Fändelen, ouni déi ierflech Konten ze verléieren

Start den Export op engem Domain-Controller oder op enger Aarbechtsstatioun mam Active Directory-Modul, a behält déi roh Datei als Beweis, amplaz eng Zesummefaassung nach eng Kéier ze tippen:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

En eenzegen LDAP-Filter ass méi einfach an eng Ännerungsopzeechnung ze pechen. Dësen hei gëtt nëmmen déi ausdrécklech Erlaabnesser zréck:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Frot duerno nach eng Kéier ouni d’Anwielklausel a sicht Konten, deene säi Wäert feelt. Dat sinn déi ierflech, meeschtens déi gréisst Grupp an der Domain, an wann dir se iwwerspréngt, gëtt en Audit eng Lëscht vun deene wéinege Leit, un déi een dru geduecht huet, se vun Hand ze konfiguréieren.

Trennt de Fändel vum Gruppenzougang an der Gesondheet vum Kont

Den Attribut äntwert op eng Fro: däerf dëse Kont sech anwielen. En seet näischt doriwwer, ob d’Persoun nach hei schafft, ob de Kont aktivéiert ass oder ob e gedeelt Passwuert an enger Notiz vum Helpdesk läit. Paart den Export mam Aktivéierungszoustand, dem Datum vun der leschter Umeldung an der Gruppememberschaft, déi den Zougang zum Server gëtt.

D’Kombinatiounen sinn dat, worop dir reagéiert. En deaktivéierte Kont mat TRUE ass Kaméidi. En aktivéierte Kont mat TRUE, dee sech zanter engem Joer net ugemellt huet, ass e Kandidat fir ewechzehuelen. En ierfleche Kont an der VPN-Grupp, deen een net erkläre kann, ass dee richtege Befund, well keng eenzeg Astellung festhält, firwat en ginn ass.

Liest en vun deem Domain-Controller, géint deen de VPN-Server sech tatsächlech authentifizéiert. D’Replikatiounsverzögerung kann e Wäert weisen, deen de Server schonn ersat huet, an en Audit, deen en verälerte DC-Wäert zitéiert, gëtt beusproocht, soubal een nach eng Kéier nokuckt.

Ännert een Kont a beweist, datt d’Ännerung ukomm ass

Fir den Zougang ze entfernen, setzt den Attribut op FALSE, amplaz en ze läschen. Läschen bréngt de Kont zréck an d’Richtlinn-Ierfschaft, déi en bei der nächster Verbindung nach eng Kéier erlaben kann, an d’Ännerung gesäit wéi eng Korrektur aus, während se tatsächlech eng aner Entscheedung ass:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Déi zweet Linn ass de Reset vun der Ierfschaft, bewosst separat gehal, fir datt keen déi zwou Operatioune verwiesselt. Bestätegt duerno aus enger zweeter Sëtzung, liest den Attribut nach eng Kéier a kuckt d’NPS-Comptabilitéitszeremonien fir d’Oflehnung, amplaz der Aktualiséierung vun der Konsole ze vertrauen.

Schreift schliisslech op, wéi ee Mechanismus d’Entscheedung fir all Fernzougangsservice besëtzt. Wann d’Richtlinn d’Anwielpropriétéite vum Benotzer ignoréiert, ass d’Gruppebedingung autoritativ an den Attribut ass nëmme berodend fir dee Service. Zwee Servicer an der selwechter Domain kënnen berechtegt verschidden äntweren, an de Prüfvermerk sollt dat an enger Linn pro Service soen.

D’Ausgab, déi en Audit iwwersteet, ass kuerz: wien däerf sech verbannen, ënner wéi engem Mechanismus, wéini nogekuckt, vun wiem. Den Anwiel-Fändel liwwert déi éischt zwou Äntwerten; nëmmen d’Prüfung vun der Richtlinn liwwert de Rescht.

Ähnlech Artikelen