ਕੌਣ ਡਾਇਲ ਇਨ ਕਰ ਸਕਦਾ ਹੈ? VPN ਪਹੁੰਚ ਤੋਂ ਪਹਿਲਾਂ msNPAllowDialin ਦਾ ਆਡਿਟ

ਪਾਸਵਰਡ ਸਹੀ ਹੈ, ਖਾਤਾ VPN ਗਰੁੱਪ ਵਿੱਚ ਹੈ, ਅਤੇ ਫਿਰ ਵੀ ਕਨੈਕਸ਼ਨ ਅਜਿਹੇ ਸੁਨੇਹੇ ਨਾਲ ਰੱਦ ਹੋ ਰਿਹਾ ਹੈ ਜਿਸ ਵਿੱਚ ਕਿਸੇ ਨੀਤੀ ਦਾ ਜ਼ਿਕਰ ਨਹੀਂ। ਜਦੋਂ ਇਹ Windows ਰਿਮੋਟ-ਪਹੁੰਚ ਸਰਵਰ ਉੱਤੇ ਹੁੰਦਾ ਹੈ, ਤਾਂ ਮੈਂ ਸਭ ਤੋਂ ਪਹਿਲਾਂ ਜੋ ਦੇਖਦਾ ਹਾਂ ਉਹ NPS ਨਿਯਮ ਨਹੀਂ, ਬਲਕਿ Active Directory ਦੀ ਇੱਕ ਵਿਸ਼ੇਸ਼ਤਾ ਹੈ ਜਿਸਨੂੰ ਕੋਈ ਨਹੀਂ ਖੋਲ੍ਹਦਾ: msNPAllowDialin, ਭਾਵ Dial-in ਟੈਬ ਪਿੱਛੇ ਦਾ ਮੁੱਲ। ਇਸਦੀਆਂ ਤਿੰਨ ਅਵਸਥਾਵਾਂ ਹਨ, ਅਤੇ ਤੀਜੀ ਚੁੱਪਚਾਪ ਫੈਸਲਾ ਕਿਸੇ ਹੋਰ ਥਾਂ ਸੌਂਪ ਦਿੰਦੀ ਹੈ। ਬਹੁਤੀ ਵਾਰ ਕਿਸੇ ਨੇ ਇਸਨੂੰ ਜਾਣ-ਬੁੱਝ ਕੇ ਨਹੀਂ ਬਦਲਿਆ: ਖਾਤਾ ਕਿਸੇ ਟੈਂਪਲੇਟ ਤੋਂ ਕਲੋਨ ਕੀਤਾ ਗਿਆ ਸੀ, ਜਾਂ ਅਜਿਹੀ ਸਕ੍ਰਿਪਟ ਨਾਲ ਬਣਾਇਆ ਗਿਆ ਸੀ ਜਿਸਨੇ ਸਾਲਾਂ ਪਹਿਲਾਂ ਸਪੱਸ਼ਟ ਇਨਕਾਰ ਲਿਖਿਆ ਅਤੇ ਫਿਰ ਕਦੇ ਸਮੀਖਿਆ ਨਹੀਂ ਹੋਈ।

ਇਨਕਾਰ ਨੀਤੀ ਪੜ੍ਹੇ ਜਾਣ ਤੋਂ ਪਹਿਲਾਂ ਹੀ ਹੋ ਸਕਦਾ ਹੈ

Windows ਅਧਿਕਾਰ ਫੈਸਲਾ ਬਣਾਉਂਦੇ ਸਮੇਂ ਖਾਤੇ ਦੀ ਡਾਇਲ-ਇਨ ਇਜਾਜ਼ਤ ਜਾਂਚਦਾ ਹੈ, ਇਸ ਲਈ ਸਪੱਸ਼ਟ ਇਨਕਾਰ ਗੱਲਬਾਤ ਜਲਦੀ ਖਤਮ ਕਰ ਦਿੰਦਾ ਹੈ। ਕਲਾਇੰਟ ਉੱਤੇ ਜੋ ਦਿਖਦਾ ਹੈ ਉਹ ਇੱਕ ਆਮ ਪ੍ਰਮਾਣੀਕਰਨ ਅਸਫਲਤਾ ਹੈ, ਕਦੇ-ਕਦੇ ਸਰਟੀਫਿਕੇਟਾਂ ਦੀ ਅਦਲਾ-ਬਦਲੀ ਤੋਂ ਬਾਅਦ, ਅਤੇ ਇਸੇ ਲਈ ਲੋਕ ਦੁਪਹਿਰ ਅਜਿਹੇ ਪ੍ਰਮਾਣ ਪਰਖਣ ਵਿੱਚ ਲਾ ਦਿੰਦੇ ਹਨ ਜੋ ਕਦੇ ਸਮੱਸਿਆ ਨਹੀਂ ਸਨ।

ਉਲਟਾ ਮਾਮਲਾ ਵੀ ਉੱਨਾ ਹੀ ਉਲਝਾਉਣ ਵਾਲਾ ਹੈ। ਜਿਸ ਖਾਤੇ ਉੱਤੇ ਕਦੇ ਫਲੈਗ ਸੈੱਟ ਨਹੀਂ ਹੋਇਆ ਉਹ ਸਫਲਤਾਪੂਰਵਕ ਜੁੜ ਸਕਦਾ ਹੈ ਕਿਉਂਕਿ ਨੀਤੀ ਨੇ ਇਜਾਜ਼ਤ ਦਿੱਤੀ ਸੀ, ਅਤੇ ਫਿਰ ਉਹੀ ਖਾਤਾ ਜੁੜਨਾ ਬੰਦ ਕਰ ਦਿੰਦਾ ਹੈ ਜਦੋਂ ਕੋਈ ਅਸੰਬੰਧਿਤ ਕਾਰਨ ਕਰਕੇ NPS ਨਿਯਮ ਸੰਪਾਦਿਤ ਕਰਦਾ ਹੈ। ਦੋਨਾਂ ਵਿੱਚੋਂ ਕੋਈ ਵੀ ਘਟਨਾ ਬਾਹਰੋਂ ਡਾਇਲ-ਇਨ ਇਜਾਜ਼ਤ ਦੇ ਬਦਲਾਅ ਵਰਗੀ ਨਹੀਂ ਦਿਸਦੀ।

ਤਿੰਨ ਅਵਸਥਾਵਾਂ, ਅਤੇ ਤੀਜੀ ਅਦਿੱਖ ਹੈ

TRUE ਡਾਇਲ-ਇਨ ਦੀ ਇਜਾਜ਼ਤ ਦਿੰਦਾ ਹੈ, FALSE ਇਸਨੂੰ ਰੱਦ ਕਰਦਾ ਹੈ, ਅਤੇ NULL ਮੁੱਲ ਦਾ ਅਰਥ ਹੈ ਕਿ ਖਾਤਾ ਆਪਣਾ ਜਵਾਬ ਰਿਮੋਟ ਪਹੁੰਚ ਨੀਤੀ ਜਾਂ NPS ਅਧਿਕਾਰ ਤੋਂ ਵਿਰਾਸਤ ਵਿੱਚ ਲੈਂਦਾ ਹੈ। GUI ਉਸ ਤੀਜੀ ਅਵਸਥਾ ਨੂੰ "Control access through NPS Network Policy" ਵਜੋਂ ਦਿਖਾਉਂਦਾ ਹੈ, ਅਤੇ ਇਹ ਫੈਸਲੇ ਦੀ ਬਜਾਏ ਬਿਨਾਂ ਨਿਸ਼ਾਨ ਲੱਗੀ ਚੈੱਕਬਾਕਸ ਵਾਂਗ ਪੜ੍ਹੀ ਜਾਂਦੀ ਹੈ।

ਇਸ ਲਈ ਕੰਸੋਲ ਤੋਂ ਇਜਾਜ਼ਤ ਵਾਲੇ ਉਪਭੋਗਤਿਆਂ ਦੀ ਗਿਣਤੀ ਕਰਨਾ ਲਗਭਗ ਕੁਝ ਨਹੀਂ ਦੱਸਦਾ। ਵਿਰਾਸਤੀ ਖਾਤਾ ਖਾਤੇ ਨੂੰ ਛੂਹੇ ਬਿਨਾਂ ਅੱਜ ਇਜਾਜ਼ਤ ਵਾਲਾ ਅਤੇ ਕੱਲ੍ਹ ਰੱਦ ਹੋ ਸਕਦਾ ਹੈ, ਅਤੇ FALSE ਖਾਤਾ ਉਸ ਸਰਵਰ ਉੱਤੇ ਵੀ ਜੁੜ ਸਕਦਾ ਹੈ ਜਿਸਦੀ ਨੀਤੀ ਉਪਭੋਗਤਾ ਦੀਆਂ ਡਾਇਲ-ਇਨ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਨੂੰ ਨਜ਼ਰਅੰਦਾਜ਼ ਕਰਨ ਲਈ ਸੈੱਟ ਹੈ। ਵਿਸ਼ੇਸ਼ਤਾ ਅਤੇ ਨੀਤੀ ਇਕੱਠੇ ਪੜ੍ਹੋ, ਨਹੀਂ ਤਾਂ ਤੁਸੀਂ ਅੱਧੇ ਫੈਸਲੇ ਦਾ ਆਡਿਟ ਕਰ ਰਹੇ ਹੋ।

ਵਿਰਾਸਤੀ ਖਾਤੇ ਗੁਆਏ ਬਿਨਾਂ ਫਲੈਗ ਨਿਰਯਾਤ ਕਰੋ

ਨਿਰਯਾਤ ਡੋਮੇਨ ਕੰਟਰੋਲਰ ਤੋਂ, ਜਾਂ Active Directory ਮੌਡਿਊਲ ਵਾਲੇ ਵਰਕਸਟੇਸ਼ਨ ਤੋਂ ਚਲਾਓ, ਅਤੇ ਸਾਰਾਂਸ਼ ਦੁਬਾਰਾ ਟਾਈਪ ਕਰਨ ਦੀ ਬਜਾਏ ਕੱਚੀ ਫਾਈਲ ਸਬੂਤ ਵਜੋਂ ਰੱਖੋ:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

ਇੱਕ LDAP ਫਿਲਟਰ ਤਬਦੀਲੀ ਰਿਕਾਰਡ ਵਿੱਚ ਪੇਸਟ ਕਰਨਾ ਸੌਖਾ ਹੈ। ਇਹ ਸਿਰਫ ਸਪੱਸ਼ਟ ਇਜਾਜ਼ਤਾਂ ਵਾਪਸ ਕਰਦਾ ਹੈ:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

ਫਿਰ ਡਾਇਲ-ਇਨ ਸ਼ਰਤ ਤੋਂ ਬਿਨਾਂ ਦੁਬਾਰਾ ਪੁੱਛੋ ਅਤੇ ਉਹ ਖਾਤੇ ਲੱਭੋ ਜਿਨ੍ਹਾਂ ਦਾ ਮੁੱਲ ਗੈਰਹਾਜ਼ਰ ਹੈ। ਉਹੀ ਵਿਰਾਸਤੀ ਖਾਤੇ ਹਨ, ਆਮ ਤੌਰ 'ਤੇ ਡੋਮੇਨ ਦਾ ਸਭ ਤੋਂ ਵੱਡਾ ਗਰੁੱਪ, ਅਤੇ ਉਹਨਾਂ ਨੂੰ ਛੱਡਣ ਨਾਲ ਆਡਿਟ ਉਹਨਾਂ ਥੋੜ੍ਹੇ ਲੋਕਾਂ ਦੀ ਸੂਚੀ ਬਣ ਜਾਂਦਾ ਹੈ ਜਿਨ੍ਹਾਂ ਨੂੰ ਕਿਸੇ ਨੇ ਹੱਥੀਂ ਸੈੱਟ ਕਰਨਾ ਯਾਦ ਰੱਖਿਆ ਸੀ।

ਫਲੈਗ ਨੂੰ ਗਰੁੱਪ ਪਹੁੰਚ ਅਤੇ ਖਾਤੇ ਦੀ ਸਿਹਤ ਤੋਂ ਵੱਖ ਕਰੋ

ਵਿਸ਼ੇਸ਼ਤਾ ਇੱਕ ਸਵਾਲ ਦਾ ਜਵਾਬ ਦਿੰਦੀ ਹੈ: ਕੀ ਇਹ ਖਾਤਾ ਡਾਇਲ ਇਨ ਕਰ ਸਕਦਾ ਹੈ। ਇਹ ਨਹੀਂ ਦੱਸਦੀ ਕਿ ਵਿਅਕਤੀ ਅਜੇ ਵੀ ਇੱਥੇ ਕੰਮ ਕਰਦਾ ਹੈ, ਖਾਤਾ ਸਮਰੱਥ ਹੈ, ਜਾਂ ਹੈਲਪ-ਡੈਸਕ ਦੀ ਨੋਟ ਵਿੱਚ ਸਾਂਝਾ ਪਾਸਵਰਡ ਪਿਆ ਹੈ। ਨਿਰਯਾਤ ਨੂੰ ਸਮਰੱਥ ਸਥਿਤੀ, ਆਖਰੀ ਲੌਗਇਨ ਤਾਰੀਖ ਅਤੇ ਸਰਵਰ ਤੱਕ ਪਹੁੰਚ ਦੇਣ ਵਾਲੀ ਗਰੁੱਪ ਮੈਂਬਰਸ਼ਿਪ ਨਾਲ ਜੋੜੋ।

ਤੁਸੀਂ ਜਿਨ੍ਹਾਂ ਸੁਮੇਲਾਂ ਉੱਤੇ ਕਾਰਵਾਈ ਕਰਦੇ ਹੋ, ਉਹੀ ਮਾਅਨੇ ਰੱਖਦੇ ਹਨ। ਨਿਸ਼ਕਿਰਿਆ ਖਾਤਾ TRUE ਨਾਲ ਸਿਰਫ ਸ਼ੋਰ ਹੈ। ਸਮਰੱਥ ਖਾਤਾ TRUE ਨਾਲ ਇੱਕ ਸਾਲ ਲੌਗਇਨ ਨਾ ਹੋਇਆ ਹੋਵੇ ਤਾਂ ਉਹ ਹਟਾਉਣ ਦਾ ਉਮੀਦਵਾਰ ਹੈ। ਪਰ VPN ਗਰੁੱਪ ਵਿੱਚ ਵਿਰਾਸਤੀ ਖਾਤਾ ਜਿਸਨੂੰ ਕੋਈ ਸਮਝਾ ਨਹੀਂ ਸਕਦਾ, ਉਹੀ ਅਸਲ ਮਹੱਤਵਪੂਰਨ ਖੋਜ ਹੈ, ਕਿਉਂਕਿ ਕੋਈ ਵੀ ਇੱਕੋ ਸੈਟਿੰਗ ਇਹ ਦਰਜ ਨਹੀਂ ਕਰਦੀ ਕਿ ਇਹ ਕਿਉਂ ਦਿੱਤਾ ਗਿਆ।

ਇਸਨੂੰ ਉਸ ਡੋਮੇਨ ਕੰਟਰੋਲਰ ਤੋਂ ਪੜ੍ਹੋ ਜਿਸਦੇ ਵਿਰੁੱਧ VPN ਸਰਵਰ ਅਸਲ ਵਿੱਚ ਪ੍ਰਮਾਣੀਕਰਨ ਕਰਦਾ ਹੈ। ਰੈਪਲਿਕੇਸ਼ਨ ਦੇਰੀ ਅਜਿਹਾ ਮੁੱਲ ਦਿਖਾ ਸਕਦੀ ਹੈ ਜੋ ਸਰਵਰ ਪਹਿਲਾਂ ਹੀ ਬਦਲ ਚੁੱਕਾ ਹੈ, ਅਤੇ ਪੁਰਾਣੇ DC ਮੁੱਲ ਦਾ ਹਵਾਲਾ ਦੇਣ ਵਾਲਾ ਆਡਿਟ ਉਸੇ ਪਲ ਚੁਣੌਤੀ ਵਿੱਚ ਪੈ ਜਾਏਗਾ ਜਦੋਂ ਕੋਈ ਦੁਬਾਰਾ ਜਾਂਚ ਕਰੇਗਾ।

ਇੱਕ ਖਾਤਾ ਬਦਲੋ ਅਤੇ ਸਾਬਤ ਕਰੋ ਕਿ ਤਬਦੀਲੀ ਪਹੁੰਚ ਗਈ

ਪਹੁੰਚ ਹਟਾਉਣ ਲਈ ਵਿਸ਼ੇਸ਼ਤਾ ਨੂੰ FALSE ਉੱਤੇ ਸੈੱਟ ਕਰੋ, ਇਸਨੂੰ ਸਾਫ਼ ਕਰਨ ਦੀ ਬਜਾਏ। ਸਾਫ਼ ਕਰਨ ਨਾਲ ਖਾਤਾ ਨੀਤੀ-ਵਿਰਾਸਤ ਵਿੱਚ ਪਰਤ ਜਾਂਦਾ ਹੈ, ਜੋ ਅਗਲੇ ਕਨੈਕਸ਼ਨ ਉੱਤੇ ਇਸਨੂੰ ਦੁਬਾਰਾ ਇਜਾਜ਼ਤ ਦੇ ਸਕਦਾ ਹੈ, ਅਤੇ ਤਬਦੀਲੀ ਸੁਧਾਰ ਵਾਂਗ ਦਿਸਦੀ ਹੈ ਜਦੋਂ ਕਿ ਅਸਲ ਵਿੱਚ ਇਹ ਵੱਖਰਾ ਫੈਸਲਾ ਹੈ:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

ਦੂਜੀ ਲਾਈਨ ਵਿਰਾਸਤ ਦਾ ਰੀਸੈਟ ਹੈ, ਜਾਣ-ਬੁੱਝ ਕੇ ਵੱਖ ਰੱਖੀ ਗਈ ਤਾਂ ਜੋ ਕੋਈ ਦੋਨੋਂ ਕਾਰਵਾਈਆਂ ਨੂੰ ਨਾ ਮਿਲਾਏ। ਫਿਰ ਦੂਜੇ ਸੈਸ਼ਨ ਤੋਂ ਪੁਸ਼ਟੀ ਕਰੋ, ਵਿਸ਼ੇਸ਼ਤਾ ਦੁਬਾਰਾ ਪੜ੍ਹੋ, ਅਤੇ ਕੰਸੋਲ ਦੇ ਰਿਫ੍ਰੈਸ਼ ਉੱਤੇ ਭਰੋਸਾ ਕਰਨ ਦੀ ਬਜਾਏ ਇਨਕਾਰ ਲਈ NPS ਲੇਖਾ ਘਟਨਾਵਾਂ ਦੇਖੋ।

ਅੰਤ ਵਿੱਚ, ਹਰ ਰਿਮੋਟ-ਪਹੁੰਚ ਸੇਵਾ ਲਈ ਕਿਹੜਾ ਤੰਤਰ ਫੈਸਲੇ ਦਾ ਮਾਲਕ ਹੈ ਲਿਖੋ। ਜੇ ਨੀਤੀ ਉਪਭੋਗਤਾ ਦੀਆਂ ਡਾਇਲ-ਇਨ ਵਿਸ਼ੇਸ਼ਤਾਵਾਂ ਨੂੰ ਨਜ਼ਰਅੰਦਾਜ਼ ਕਰਦੀ ਹੈ, ਤਾਂ ਗਰੁੱਪ ਸ਼ਰਤ ਹੀ ਅਧਿਕਾਰਿਕ ਹੈ ਅਤੇ ਵਿਸ਼ੇਸ਼ਤਾ ਸਿਰਫ ਉਸ ਸੇਵਾ ਲਈ ਸਲਾਹਕਾਰੀ ਹੈ। ਇੱਕੋ ਡੋਮੇਨ ਦੀਆਂ ਦੋ ਸੇਵਾਵਾਂ ਕਾਨੂੰਨੀ ਤੌਰ 'ਤੇ ਵੱਖਰਾ ਜਵਾਬ ਦੇ ਸਕਦੀਆਂ ਹਨ, ਅਤੇ ਸਮੀਖਿਆ ਰਿਕਾਰਡ ਨੇ ਹਰ ਸੇਵਾ ਲਈ ਇੱਕ ਲਾਈਨ ਵਿੱਚ ਇਹ ਕਹਿਣਾ ਚਾਹੀਦਾ ਹੈ।

ਆਡਿਟ ਵਿੱਚ ਟਿਕਣ ਵਾਲਾ ਨਤੀਜਾ ਛੋਟਾ ਹੈ: ਕੌਣ ਜੁੜ ਸਕਦਾ ਹੈ, ਕਿਹੜੇ ਤੰਤਰ ਹੇਠ, ਕਦੋਂ ਸਮੀਖਿਆ ਹੋਈ, ਕਿਸਨੇ। ਡਾਇਲ-ਇਨ ਫਲੈਗ ਪਹਿਲੇ ਦੋ ਜਵਾਬ ਦਿੰਦਾ ਹੈ; ਬਾਕੀ ਸਿਰਫ ਨੀਤੀ ਦੀ ਸਮੀਖਿਆ ਦਿੰਦੀ ਹੈ।