Хэн залгах эрхтэй вэ? VPN хандалтын өмнөх msNPAllowDialin аудит

Нууц үг зөв, бүртгэл VPN бүлэгт байгаа ч холболт ямар ч бодлого дурдаагүй мэдээллээр татгалзаж байна. Энэ нь Windows-ын алсын хандалтын сервер дээр тохиолдоход би хамгийн түрүүнд NPS дүрмийг биш, хэн ч нээдэггүй нэг Active Directory шинж чанарыг хардаг: msNPAllowDialin, өөрөөр хэлбэл Dial-in табны ард байх утга. Үүнд гурван төлөв байгаа бөгөөд гурав дахь нь шийдвэрийг чимээгүй өөр газар шилжүүлдэг. Ихэнхдээ хэн ч үүнийг санаатай өөрчлөөгүй: бүртгэлийг загвараас хуулсан эсвэл олон жилийн өмнө тодорхой хориг бичсэн, дахин хэзээ ч хянагдаагүй скриптээр үүсгэсэн.

Татгалзах нь бодлогыг уншихаас өмнө тохиолдож болно

Windows нь зөвшөөрлийн шийдвэрийг бүтээхдээ бүртгэлийн залгах зөвшөөрлийг шалгадаг тул тодорхой хориг яриаг эрт дуусгадаг. Клиент дээр харагдах зүйл бол ерөнхий баталгаажуулалтын алдаа бөгөөд заримдаа гэрчилгээний солилцоо дууссаны дараа гардаг, тиймээс хүмүүс хэзээ ч асуудал болж байгаагүй нэвтрэх мэдээллийг шалгаж үдээс хойш цагийг өнгөрөөдөг.

Эсрэг тохиолдол ч мөн адил будлиантай. Туг хэзээ ч тавигдаагүй бүртгэл нь бодлого зөвшөөрсөн тул амжилттай холбогдож болно, дараа нь хэн нэгэн хамааралгүй шалтгаанаар NPS дүрмийг засварлахад мөнөөх бүртгэл холбогдохоо болино. Эдгээр хоёр үйл явдлын аль нь ч гаднаас залгах зөвшөөрлийн өөрчлөлт мэт харагдахгүй.

Гурван төлөв, гурав дахь нь үл үзэгдэх

TRUE залгахыг зөвшөөрдөг, FALSE үүнийг хориглодог, NULL утга нь бүртгэл хариултаа алсын хандалтын бодлого эсвэл NPS-ийн зөвшөөрлөөс өвлөн авдаг гэсэн үг. GUI гурав дахь төлөвийг "Control access through NPS Network Policy" гэж харуулдаг бөгөөд энэ нь шийдвэрээс илүү тэмдэглээгүй нүд шиг уншигддаг.

Тиймээс консолоос зөвшөөрөгдсөн хэрэглэгчдийг тоолох нь бараг юу ч хэлдэггүй. Өвлөсөн бүртгэл нь бүртгэлд хүрэлгүйгээр өнөөдөр зөвшөөрөгдөж, маргааш татгалзагдаж болно, харин FALSE бүртгэл нь хэрэглэгчийн залгах шинж чанарыг үл тоомсорлохоор тохируулсан бодлоготой сервер дээр ч холбогдож чадна. Шинж чанар ба бодлогыг хамт уншаарай, эс бөгөөс та шийдвэрийн талыг л аудит хийж байна.

Өвлөсөн бүртгэлүүдийг алдалгүйгээр тугуудыг экспортлоорой

Экспортыг домэйны хянагчаас эсвэл Active Directory модультай ажлын станцаас ажиллуулж, хураангуйг дахин бичихийн оронд түүхий файлыг нотолгоо болгон хадгалаарай:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Нэг LDAP шүүлтүүрийг өөрчлөлтийн бүртгэлд наахад хялбар. Энэ нь зөвхөн тодорхой зөвшөөрлүүдийг буцаана:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Дараа нь залгах нөхцөлгүйгээр дахин асууж, утга нь байхгүй бүртгэлүүдийг хай. Тэдгээр нь өвлөсөн бүртгэлүүд бөгөөд ихэвчлэн домэйн дахь хамгийн том бүлэг бөгөөд тэдгээрийг алгасвал аудит нь хэн нэгэн гараар тохируулахыг санасан цөөн хүний жагсаалт болж хувирна.

Тугийг бүлгийн хандалт ба бүртгэлийн эрүүл мэндээс тусгаарла

Шинж чанар нь нэг асуултад хариулдаг: энэ бүртгэл залгаж болох уу. Хүн энд ажиллаж байгаа эсэх, бүртгэл идэвхжсэн эсэх, тусламжийн ширээний тэмдэглэлд хуваалцсан нууц үг байгаа эсэхийг энэ нь хэлэхгүй. Экспортыг идэвхжсэн төлөв, сүүлчийн нэвтрэлтийн огноо, серверт хандах эрх олгодог бүлгийн гишүүнчлэлтэй хослуулаарай.

Таны авах арга хэмжээ хослолуудад тулгуурлана. Идэвхгүй бүртгэл TRUE утгатай бол зөвхөн шуугиан. Идэвхтэй бүртгэл TRUE утгатайгаар нэг жил нэвтрээгүй бол устгах нэр дэвшигч. Харин VPN бүлэгт байгаа, хэн ч тайлбарлаж чадахгүй өвлөсөн бүртгэл бол жинхэнэ чухал олдвор, учир нь яагаад олгогдсоныг ямар ч ганц тохиргоо бүртгэдэггүй.

Үүнийг VPN сервер үнэхээр баталгаажуулдаг домэйны хянагчаас уншаарай. Хуулбарын хоцролт нь сервер аль хэдийн сольсон утгыг харуулж болох бөгөөд хуучирсан DC утгыг иш татсан аудит хэн нэгэн дахин шалгах тэр мөчид эсэргүүцэлтэй тулгарна.

Нэг бүртгэлийг өөрчилж, өөрчлөлт хүрсэнээ батлаарай

Хандалтыг хасахын тулд шинж чанарыг FALSE утгад тавь, устгахын оронд. Устгах нь бүртгэлийг бодлогын өвлөлтөд буцаадаг бөгөөд дараагийн холболтод дахин зөвшөөрч магадгүй, өөрчлөлт нь засвар мэт харагдах боловч үнэндээ өөр шийдвэр юм:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Хоёр дахь мөр нь өвлөлтийг дахин тохируулах бөгөөд хоёр үйлдлийг хэн ч андуурахгүйн тулд санаатайгаар тусдаа хадгалсан. Дараа нь хоёр дахь сессээс баталгаажуулж, шинж чанарыг дахин уншиж, консолын шинэчлэлтэд итгэхийн оронд татгалзалтын талаар NPS-ийн нягтлан бодох үйл явдлыг шалгаарай.

Эцэст нь алсын хандалтын үйлчилгээ бүрийн хувьд шийдвэрийг аль механизм эзэмшдэгийг бичээрэй. Хэрэв бодлого хэрэглэгчийн залгах шинж чанарыг үл тоомсорловол бүлгийн нөхцөл нь эрх мэдэлтэй бөгөөд шинж чанар нь зөвхөн тухайн үйлчилгээнд зөвлөмжийн шинжтэй. Нэг домэйн дахь хоёр үйлчилгээ хууль ёсоор өөр өөр хариулж болох бөгөөд хяналтын бүртгэл үүнийг үйлчилгээ бүрт нэг мөрөнд хэлэх ёстой.

Аудитыг даван туулах үр дүн богино: хэн холбогдож болох, ямар механизмаар, хэзээ хянагдсан, хэнээр. Залгах туг эхний хоёр хариултыг өгдөг; үлдсэнийг зөвхөн бодлогын хяналт өгдөг.