Kas gali skambinti? msNPAllowDialin auditas prieš VPN prieigą

Slaptažodis teisingas, paskyra yra VPN grupėje, o ryšys vis tiek atmetamas pranešimu, kuriame neminima jokia politika. Kai taip nutinka Windows nuotolinės prieigos serveryje, pirmiausia žiūriu ne į NPS taisyklę, o į vieną Active Directory atributą, kurio niekas neatidaro: msNPAllowDialin, reikšmę, esančią už Dial-in skirtuko. Ji turi tris būsenas, o trečioji tyliai perduoda sprendimą kitur. Dažniausiai niekas jo sąmoningai nekeitė: paskyra buvo nukopijuota iš šablono arba sukurta scenarijaus, kuris prieš metus įrašė aiškų draudimą ir niekada nebuvo peržiūrėtas.

Atmetimas gali įvykti anksčiau, nei perskaitoma politika

„Windows“ tikrina paskyros skambinimo leidimą, kol sudaro autorizacijos sprendimą, todėl aiškus draudimas pokalbį baigia anksti. Kliente matote bendrą autentifikavimo klaidą, kartais po to, kai baigiasi sertifikatų mainai, ir todėl žmonės praleidžia popietę tikrindami prisijungimo duomenis, kurie niekada nebuvo problema.

Priešingas atvejis lygiai taip pat klaidina. Paskyra, kuriai vėliavėlė niekada nebuvo nustatyta, gali sėkmingai prisijungti, nes politika tai leido, o paskui ta pati paskyra nustoja jungtis, kai kas nors dėl nesusijusios priežasties pakoreguoja NPS taisyklę. Nė vienas iš šių įvykių iš išorės neatrodo kaip skambinimo leidimo pasikeitimas.

Trys būsenos, o trečioji nematoma

TRUE leidžia skambinti, FALSE to neleidžia, o NULL reiškia, kad paskyra atsakymą paveldi iš nuotolinės prieigos politikos arba NPS autorizacijos. GUI tą trečiąją būseną rodo kaip "Control access through NPS Network Policy", ir ji skaitoma kaip nepažymėtas žymės langelis, o ne kaip sprendimas.

Todėl leidžiamų naudotojų skaičiavimas konsolėje beveik nieko nesako. Paveldėta paskyra gali būti leidžiama šiandien ir atmesta rytoj, net nepalietus paskyros, o FALSE paskyra vis tiek gali jungtis prie serverio, kurio politika sukonfigūruota ignoruoti naudotojo skambinimo savybes. Skaitykite atributą ir politiką kartu, kitaip audituojate pusę sprendimo.

Eksportuokite vėliavėles neprarasdami paveldėtų paskyrų

Paleiskite eksportą domeno valdiklyje arba darbo vietoje su Active Directory moduliu ir išsaugokite neapdorotą failą kaip įrodymą, o ne perrašykite santrauką:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Vieną LDAP filtrą lengviau įklijuoti į pakeitimo įrašą. Šis grąžina tik aiškius leidimus:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Tada dar kartą užklauskite be skambinimo sąlygos ir ieškokite paskyrų, kurių reikšmės nėra. Tai paveldėtosios, paprastai didžiausia domeno grupė, ir jei jas praleisite, auditas pavirs kelių žmonių, kuriuos kas nors prisiminė sukonfigūruoti rankiniu būdu, sąrašu.

Atskirkite vėliavėlę nuo grupinės prieigos ir paskyros būklės

Atributas atsako į vieną klausimą: ar ši paskyra gali skambinti. Jis nieko nesako apie tai, ar žmogus vis dar dirba čia, ar paskyra įjungta, ar pagalbos tarnybos pastaboje nėra bendro slaptažodžio. Susiekite eksportą su įjungimo būsena, paskutinio prisijungimo data ir grupės, kuri suteikia prieigą prie serverio, naryste.

Veikiama pagal derinius. Išjungta paskyra su TRUE yra tik triukšmas. Įjungta paskyra su TRUE, kuri neprisijungė metus, yra šalinimo kandidatė. O paveldėta paskyra VPN grupėje, kurios niekas negali paaiškinti, yra tas tikrasis radinys, nes jokia viena nuostata neužrašo, kodėl ji buvo suteikta.

Skaitykite tai iš domeno valdiklio, su kuriuo VPN serveris iš tikrųjų autentifikuojasi. Replikacijos vėlavimas gali rodyti reikšmę, kurią serveris jau pakeitė, o auditas, kuriame cituojama pasenusi DC reikšmė, bus užginčytas tą akimirką, kai kas nors patikrins dar kartą.

Pakeiskite vieną paskyrą ir įrodykite, kad pakeitimas pasiekė

Norėdami pašalinti prieigą, nustatykite atributą į FALSE, o ne išvalykite jį. Išvalymas grąžina paskyrą į politikos paveldėjimą, kuris gali vėl ją leisti kitą kartą jungiantis, ir pakeitimas atrodo kaip pataisa, nors iš tikrųjų yra kitas sprendimas:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Antroji eilutė yra paveldėjimo atstatymas, sąmoningai laikomas atskirai, kad niekas nesupainiotų dviejų operacijų. Tada patvirtinkite iš antros sesijos, perskaitykite atributą ir patikrinkite NPS apskaitos įvykius dėl atmetimo, o ne pasikliaukite konsolės atnaujinimu.

Galiausiai užrašykite, kuris mechanizmas valdo sprendimą kiekvienai nuotolinės prieigos paslaugai. Jei politika ignoruoja naudotojo skambinimo savybes, grupės sąlyga yra įgaliota, o atributas yra tik konsultacinis tai paslaugai. Dvi paslaugos tame pačiame domene gali teisėtai atsakyti skirtingai, ir peržiūros įrašas turėtų tai pasakyti vienoje eilutėje kiekvienai paslaugai.

Auditą išgyvenantis rezultatas trumpas: kas gali jungtis, kokiu mechanizmu, kada peržiūrėta, kieno. Skambinimo vėliavėlė pateikia pirmuosius du atsakymus; likusius pateikia tik politikos peržiūra.