ആർക്ക് ഡയൽ ഇൻ ചെയ്യാം? VPN ആക്സസിന് മുമ്പ് msNPAllowDialin ഓഡിറ്റ്

പാസ്വേഡ് ശരിയാണ്, അക്കൗണ്ട് VPN ഗ്രൂപ്പിലുണ്ട്, എന്നിട്ടും ഒരു നയവും പരാമർശിക്കാത്ത സന്ദേശത്തോടെ കണക്ഷൻ നിരസിക്കപ്പെടുന്നു. Windows റിമോട്ട് ആക്സസ് സർവറിൽ ഇത് സംഭവിക്കുമ്പോൾ, ഞാൻ ആദ്യം നോക്കുന്നത് NPS നിയമമല്ല, ആരും തുറക്കാത്ത ഒരു Active Directory ആട്രിബ്യൂട്ടാണ്: msNPAllowDialin, അതായത് Dial-in ടാബിന് പിന്നിലെ മൂല്യം. ഇതിന് മൂന്ന് അവസ്ഥകളുണ്ട്, മൂന്നാമത്തേത് തീരുമാനം പതുക്കെ മറ്റൊരിടത്തേക്ക് കൈമാറുന്നു. മിക്കപ്പോഴും ആരും ഇത് ഉദ്ദേശ്യപൂർവം മാറ്റിയിട്ടില്ല: അക്കൗണ്ട് ഒരു ടെംപ്ലേറ്റിൽ നിന്ന് ക്ലോൺ ചെയ്തതോ, വർഷങ്ങൾക്ക് മുമ്പ് വ്യക്തമായ വിലക്ക് എഴുതിയ, ഒരിക്കലും വീണ്ടും പരിശോധിക്കാത്ത ഒരു സ്ക്രിപ്റ്റ് സൃഷ്ടിച്ചതോ ആണ്.

നയം വായിക്കുന്നതിന് മുമ്പുതന്നെ നിരസിക്കൽ സംഭവിക്കാം

Windows അധികാര തീരുമാനം നിർമ്മിക്കുമ്പോൾ അക്കൗണ്ടിന്റെ ഡയൽ-ഇൻ അനുമതി പരിശോധിക്കുന്നു, അതിനാൽ വ്യക്തമായ വിലക്ക് സംഭാഷണം നേരത്തെ അവസാനിപ്പിക്കുന്നു. ക്ലയന്റിൽ കാണുന്നത് പൊതുവായ ഒരു പ്രാമാണീകരണ പരാജയമാണ്, ചിലപ്പോൾ സർട്ടിഫിക്കറ്റ് കൈമാറ്റം പൂർത്തിയായ ശേഷം, അതുകൊണ്ടാണ് ആളുകൾ ഒരിക്കലും പ്രശ്നമല്ലാതിരുന്ന ക്രെഡൻഷ്യലുകൾ പരിശോധിച്ച് ഉച്ചയ്ക്ക് ശേഷം ചെലവഴിക്കുന്നത്.

വിപരീത സാഹചര്യവും അത്രതന്നെ ആശയക്കുഴപ്പമുണ്ടാക്കുന്നു. ഫ്ലാഗ് ഒരിക്കലും സജ്ജീകരിക്കാത്ത അക്കൗണ്ടിന് നയം അനുവദിച്ചതിനാൽ വിജയകരമായി കണക്ട് ചെയ്യാം, പിന്നീട് ആരെങ്കിൽ ബന്ധമില്ലാത്ത ഒരു കാരണത്താൽ NPS നിയമം തിരുത്തുമ്പോൾ അതേ അക്കൗണ്ട് കണക്ട് ചെയ്യുന്നത് നിർത്തുന്നു. ഈ രണ്ട് സംഭവങ്ങളിൽ ഒന്നും പുറത്തുനിന്ന് ഡയൽ-ഇൻ അനുമതിയുടെ മാറ്റമായി തോന്നുന്നില്ല.

മൂന്ന് അവസ്ഥകൾ, മൂന്നാമത്തേത് അദൃശ്യമാണ്

TRUE ഡയൽ-ഇൻ അനുവദിക്കുന്നു, FALSE അത് നിരസിക്കുന്നു, NULL മൂല്യം അർഥമാക്കുന്നത് അക്കൗണ്ട് അതിന്റെ ഉത്തരം റിമോട്ട് ആക്സസ് നയത്തിൽ നിന്നോ NPS അധികാരത്തിൽ നിന്നോ പാരമ്പര്യമായി സ്വീകരിക്കുന്നു എന്നാണ്. GUI ആ മൂന്നാം അവസ്ഥ "Control access through NPS Network Policy" എന്ന് കാണിക്കുന്നു, അത് തീരുമാനത്തെക്കാൾ അടയാളപ്പെടുത്താത്ത ചെക്ക്ബോക്സ് പോലെ വായിക്കുന്നു.

അതുകൊണ്ടാണ് കൺസോളിൽ നിന്ന് അനുവദിച്ച ഉപയോക്താക്കളെ എണ്ണുന്നത് കാര്യമായി ഒന്നും പറയാത്തത്. പാരമ്പര്യ അക്കൗണ്ട് അക്കൗണ്ടിൽ തൊടാതെ തന്നെ ഇന്ന് അനുവദിക്കപ്പെടുകയും നാളെ നിരസിക്കപ്പെടുകയും ചെയ്യാം, FALSE അക്കൗണ്ടിന് ഉപയോക്താവിന്റെ ഡയൽ-ഇൻ സവിശേഷതകൾ അവഗണിക്കാൻ ക്രമീകരിച്ച നയമുള്ള സർവറിൽ ഇപ്പോഴും കണക്ട് ചെയ്യാം. ആട്രിബ്യൂട്ടും നയവും ഒരുമിച്ച് വായിക്കുക, അല്ലെങ്കിൽ നിങ്ങൾ പകുതി തീരുമാനം മാത്രം ഓഡിറ്റ് ചെയ്യുന്നു.

പാരമ്പര്യ അക്കൗണ്ടുകൾ നഷ്ടപ്പെടുത്താതെ ഫ്ലാഗുകൾ കയറ്റുമതി ചെയ്യുക

ഡൊമെയിൻ കൺട്രോളറിൽ നിന്നോ Active Directory മൊഡ്യൂളുള്ള വർക്ക്സ്റ്റേഷനിൽ നിന്നോ കയറ്റുമതി പ്രവർത്തിപ്പിക്കുക, സംഗ്രഹം വീണ്ടും ടൈപ്പ് ചെയ്യുന്നതിന് പകരം അസംസ്കൃത ഫയൽ തെളിവായി സൂക്ഷിക്കുക:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

ഒറ്റ LDAP ഫിൽട്ടർ ഒരു മാറ്റ രേഖയിൽ ഒട്ടിക്കാൻ എളുപ്പമാണ്. ഇത് വ്യക്തമായ അനുമതികൾ മാത്രം തിരികെ നൽകുന്നു:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

തുടർന്ന് ഡയൽ-ഇൻ വ്യവസ്ഥയില്ലാതെ വീണ്ടും ചോദിച്ച് മൂല്യമില്ലാത്ത അക്കൗണ്ടുകൾ കണ്ടെത്തുക. അവയാണ് പാരമ്പര്യമായവ, സാധാരണയായി ഡൊമെയ്നിലെ ഏറ്റവും വലിയ ഗ്രൂപ്പ്, അവ ഒഴിവാക്കിയാൽ ഓഡിറ്റ് കൈകൊണ്ട് ക്രമീകരിക്കാൻ ആരെങ്കിലും ഓർമിച്ച കുറച്ച് പേരുടെ പട്ടികയായി മാറും.

ഫ്ലാഗ് ഗ്രൂപ്പ് ആക്സസിൽ നിന്നും അക്കൗണ്ടിന്റെ ആരോഗ്യത്തിൽ നിന്നും വേർതിരിക്കുക

ആട്രിബ്യൂട്ട് ഒരു ചോദ്യത്തിന് ഉത്തരം നൽകുന്നു: ഈ അക്കൗണ്ടിന് ഡയൽ ഇൻ ചെയ്യാമോ. വ്യക്തി ഇവിടെ ഇപ്പോഴും ജോലി ചെയ്യുന്നുണ്ടോ, അക്കൗണ്ട് പ്രവർത്തനക്ഷമമാണോ, ഹെൽപ്പ് ഡെസ്ക് കുറിപ്പിൽ പങ്കിട്ട പാസ്വേഡ് ഉണ്ടോ എന്നൊന്നും അത് പറയുന്നില്ല. കയറ്റുമതി പ്രവർത്തനക്ഷമതാ അവസ്ഥയുമായും അവസാന ലോഗോൺ തീയതിയുമായും സർവറിലേക്ക് ആക്സസ് നൽകുന്ന ഗ്രൂപ്പ് അംഗത്വവുമായും ചേർത്ത് വായിക്കുക.

നിങ്ങൾ നടപടിയെടുക്കുന്നത് സംയോജനങ്ങളുടെ അടിസ്ഥാനത്തിലാണ്. നിഷ്ക്രിയമായ അക്കൗണ്ട് TRUE എന്നതിൽ കേവലം ബഹളമാണ്. സക്രിയമായ അക്കൗണ്ട് TRUE എന്നതിൽ ഒരു വർഷം ലോഗിൻ ചെയ്യാത്തത് നീക്കം ചെയ്യാനുള്ള സ്ഥാനാർഥിയാണ്. എന്നാൽ VPN ഗ്രൂപ്പിൽ ആരും വിശദീകരിക്കാനാകാത്ത പാരമ്പര്യ അക്കൗണ്ടാണ് യഥാർത്ഥ പ്രധാന കണ്ടെത്തൽ, കാരണം അത് എന്തിന് നൽകി എന്ന് ഒരു ഒറ്റ ക്രമീകരണവും രേഖപ്പെടുത്തുന്നില്ല.

VPN സർവർ യഥാർത്ഥത്തിൽ പ്രാമാണീകരിക്കുന്ന ഡൊമെയിൻ കൺട്രോളറിൽ നിന്ന് അത് വായിക്കുക. പകർപ്പ് കാലതാമസം സർവർ ഇതിനകം മാറ്റിയ മൂല്യം കാണിച്ചേക്കാം, കാലഹരണപ്പെട്ട DC മൂല്യം ഉദ്ധരിക്കുന്ന ഓഡിറ്റ് ആരെങ്കിൽ വീണ്ടും പരിശോധിക്കുന്ന നിമിഷം ചോദ്യം ചെയ്യപ്പെടും.

ഒരു അക്കൗണ്ട് മാറ്റി മാറ്റം എത്തിയെന്ന് തെളിയിക്കുക

ആക്സസ് നീക്കം ചെയ്യാൻ ആട്രിബ്യൂട്ട് FALSE ആയി സജ്ജീകരിക്കുക, അത് മായ്ക്കുന്നതിന് പകരം. മായ്ക്കുന്നത് അക്കൗണ്ടിനെ നയ പാരമ്പര്യത്തിലേക്ക് തിരികെ കൊണ്ടുവരും, അത് അടുത്ത കണക്ഷനിൽ വീണ്ടും അനുവദിച്ചേക്കാം, മാറ്റം ഒരു തിരുത്തലായി തോന്നുമ്പോൾ യഥാർത്ഥത്തിൽ അത് മറ്റൊരു തീരുമാനമാണ്:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

രണ്ടാം വരി പാരമ്പര്യത്തിന്റെ പുനഃസജ്ജീകരണമാണ്, രണ്ട് പ്രവർത്തനങ്ങളും ആരും കൂട്ടിക്കലർത്താതിരിക്കാൻ ബോധപൂർവം വേർതിരിച്ച് സൂക്ഷിച്ചിരിക്കുന്നു. തുടർന്ന് രണ്ടാം സെഷനിൽ നിന്ന് സ്ഥിരീകരിച്ച്, ആട്രിബ്യൂട്ട് വീണ്ടും വായിച്ച്, കൺസോൾ പുതുക്കുന്നതിൽ വിശ്വസിക്കുന്നതിന് പകരം നിരസിക്കലിനായി NPS അക്കൗണ്ടിംഗ് സംഭവങ്ങൾ പരിശോധിക്കുക.

അവസാനം, ഓരോ റിമോട്ട് ആക്സസ് സേവനത്തിനും ഏത് സംവിധാനമാണ് തീരുമാനത്തിന്റെ ഉടമ എന്ന് എഴുതുക. നയം ഉപയോക്താവിന്റെ ഡയൽ-ഇൻ സവിശേഷതകൾ അവഗണിക്കുന്നുവെങ്കിൽ, ഗ്രൂപ്പ് വ്യവസ്ഥയാണ് അധികാരമുള്ളത്, ആട്രിബ്യൂട്ട് ആ സേവനത്തിന് മാത്രം ഉപദേശക സ്വഭാവമുള്ളതാണ്. ഒരേ ഡൊമെയ്നിലെ രണ്ട് സേവനങ്ങൾക്ക് നിയമാനുസൃതമായി വ്യത്യസ്തമായി ഉത്തരം നൽകാം, അവലോകന രേഖ അത് ഓരോ സേവനത്തിനും ഒരു വരിയിൽ പറയണം.

ഓഡിറ്റിൽ അതിജീവിക്കുന്ന ഫലം ചെറുതാണ്: ആർക്ക് കണക്ട് ചെയ്യാം, ഏത് സംവിധാനത്തിലൂടെ, എപ്പോൾ അവലോകനം ചെയ്തു, ആരാൽ. ഡയൽ-ഇൻ ഫ്ലാഗ് ആദ്യ രണ്ട് ഉത്തരങ്ങൾ നൽകുന്നു; ബാക്കിയുള്ളത് നയത്തിന്റെ അവലോകനം മാത്രം നൽകുന്നു.