Kas drīkst zvanīt? msNPAllowDialin audits pirms VPN piekļuves

Parole ir pareiza, konts ir VPN grupā, taču savienojums joprojām tiek noraidīts ar ziņojumu, kas nemin nekādu politiku. Kad tas notiek Windows attālās piekļuves serverī, pirmā vieta, kur skatos, nav NPS noteikums, bet viens Active Directory atribūts, ko neviens neatver: msNPAllowDialin, vērtība aiz Dial-in cilnes. Tam ir trīs stāvokļi, un trešais klusi nodod lēmumu citur. Visbiežāk neviens to nav mainījis apzināti: konts tika klonēts no veidnes vai izveidots ar skriptu, kas pirms gadiem ierakstīja skaidru aizliegumu un nekad netika pārskatīts.

Noraidījums var notikt pirms politikas nolasīšanas

Windows pārbauda konta zvanīšanas atļauju, kamēr veido autorizācijas lēmumu, tāpēc skaidrs aizliegums sarunu pārtrauc agri. Klientā redzamais ir vispārīga autentifikācijas kļūda, dažkārt pēc sertifikātu apmaiņas pabeigšanas, un tāpēc cilvēki pavada pēcpusdienu, testējot akreditācijas datus, kas nekad nav bijuši problēma.

Pretējais gadījums ir tikpat mulsinošs. Konts, kuram karodziņš nekad nav bijis iestatīts, var veiksmīgi pieslēgties, jo politika to atļāva, un pēc tam tas pats konts pārstāj pieslēgties, kad kāds nesaistīta iemesla dēļ rediģē NPS noteikumu. Neviens no šiem notikumiem no malas neizskatās kā zvanīšanas atļaujas izmaiņa.

Trīs stāvokļi, un trešais ir neredzams

TRUE atļauj zvanīt, FALSE to aizliedz, un NULL nozīmē, ka konts savu atbildi manto no attālās piekļuves politikas vai NPS autorizācijas. GUI šo trešo stāvokli rāda kā "Control access through NPS Network Policy", un tas lasās kā neatzīmēta izvēles rūtiņa, nevis lēmums.

Tāpēc atļauto lietotāju skaitīšana konsolē gandrīz neko nepasaka. Mantots konts var būt atļauts šodien un noraidīts rīt, kontu pat neaiztiekot, un FALSE konts joprojām var pieslēgties serverim, kura politika ir iestatīta ignorēt lietotāja zvanīšanas rekvizītus. Lasiet atribūtu un politiku kopā, citādi jūs auditējat pusi lēmuma.

Eksportējiet karodziņus, nezaudējot mantotos kontus

Palaidiet eksportu domēna kontrolierī vai darbstacijā ar Active Directory moduli un saglabājiet neapstrādāto failu kā pierādījumu, nevis pārrakstiet kopsavilkumu:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Vienu LDAP filtru ir vieglāk ielīmēt izmaiņu ierakstā. Šis atgriež tikai skaidras atļaujas:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Pēc tam vēlreiz vaicājiet bez zvanīšanas nosacījuma un meklējiet kontus, kuriem vērtības nav. Tie ir mantotie, parasti lielākā grupa domēnā, un to izlaišana pārvērš auditu sarakstā ar dažiem cilvēkiem, kurus kāds atcerējās konfigurēt manuāli.

Atdaliet karodziņu no grupas piekļuves un konta veselības

Atribūts atbild uz vienu jautājumu: vai šis konts drīkst zvanīt. Tas neko nesaka par to, vai cilvēks vēl strādā šeit, vai konts ir iespējots, vai atbalsta dienesta piezīmē nav koplietota parole. Sasaistiet eksportu ar iespējošanas stāvokli, pēdējās pieteikšanās datumu un grupas dalību, kas dod piekļuvi serverim.

Rīcība balstās uz kombinācijām. Atspējots konts ar TRUE ir tikai troksnis. Iespējots konts ar TRUE, kas nav pieteicies gadu, ir dzēšanas kandidāts. Bet mantots konts VPN grupā, kuru neviens nevar izskaidrot, ir īstais atradums, jo neviens atsevišķs iestatījums nepieraksta, kāpēc tas tika piešķirts.

Lasiet to no domēna kontroliera, pret kuru VPN serveris faktiski autentificējas. Replikācijas aizture var parādīt vērtību, ko serveris jau aizstājis, un audits, kas citē novecojušu DC vērtību, tiks apstrīdēts tajā brīdī, kad kāds pārbaudīs vēlreiz.

Mainiet vienu kontu un pierādiet, ka izmaiņa ir nonākusi

Lai noņemtu piekļuvi, iestatiet atribūtu uz FALSE, nevis notīriet to. Notīrīšana atgriež kontu politikas mantošanā, kas var to atkal atļaut nākamajā savienojumā, un izmaiņa izskatās kā labojums, lai gan patiesībā ir cits lēmums:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Otrā rinda ir mantošanas atiestatīšana, apzināti turēta atsevišķi, lai neviens nesajauktu abas darbības. Pēc tam apstipriniet no otrās sesijas, nolasiet atribūtu vēlreiz un pārbaudiet NPS uzskaites notikumus par noraidījumu, nevis paļaujieties uz konsoles atjaunināšanu.

Visbeidzot pierakstiet, kurš mehānisms pārvalda lēmumu katram attālās piekļuves pakalpojumam. Ja politika ignorē lietotāja zvanīšanas rekvizītus, grupas nosacījums ir noteicošais un atribūts ir tikai konsultatīvs tieši šim pakalpojumam. Divi pakalpojumi vienā domēnā var likumīgi atbildēt atšķirīgi, un pārskata ierakstā tas jānorāda vienā rindā katram pakalpojumam.

Auditu pārdzīvojošais rezultāts ir īss: kas drīkst pieslēgties, ar kādu mehānismu, kad pārskatīts, ar ko. Zvanīšanas karodziņš sniedz pirmās divas atbildes; pārējo sniedz tikai politikas pārskats.