څوک کولای شي زنګ ووهي؟ د VPN لاسرسي دمخه د msNPAllowDialin پلټنه

پټنوم سم دی، حساب په VPN ګروپ کې دی، او اړیکه بیا هم د داسې پیغام سره ردېږي چې هیڅ تګلاره نه یادوي۔ کله چې دا د Windows د لرې لاسرسي سرور کې پیښ شي، لومړی ځای چې زه ګورم د NPS قاعده نه ده، بلکې د Active Directory یو ځانګړتیا ده چې هیڅوک نه پرانیزي: msNPAllowDialin، یعنې د Dial-in ټب شاته ارزښت۔ درې حالتونه لري، او دریم یې په خاموشۍ پریکړه بل ځای ته سپاري۔ ډیری وختونو هیڅوک دا په قصد بدل کړی نه دی: حساب له یو کينډۍ څخه کاپي شوی و، یا د سکریپټ له خوا جوړ شوی و چې کلونه دمخه یې روښانه انکار لیکلی و او بیا هیڅکله ونه کتل شو۔

ردېدنه کولای شي د تګلارې له لوستلو دمخه پیښ شي

Windows د اجازې پریکړې په جوړولو کې د حساب د زنګ وهلو اجازه ګوري، نو روښانه انکار خبرې ژر پای ته رسوي۔ هغه څه چې په کلاینټ کې ګورئ یو عمومي تصدیق پاتې راتلل دي، کله ناکله د سندونو تر تبادلې وروسته، او له همدې امله خلک ماسپښین هغه اسناد ازمويي چې هیڅکله ستونزه نه وه۔

برعکس حالت هم همدومره ګډوډوونکی دی۔ هغه حساب چې کله هم بیرغ نه دی ټاکل شوی کولای شي په بریالیتوب سره ونښلي ځکه چې تګلارې اجازه ورکړې وه، او بیا هماغه حساب نښلېدل بندوي کله چې څوک د بې اړیکې دلیل له امله د NPS قاعده سمون کړي۔ دواړه پیښې له بهر څخه د زنګ وهلو اجازې بدلون نه ښکاري۔

درې حالتونه، او دریم یې ناڅرګند دی

TRUE زنګ وهلو ته اجازه ورکوي، FALSE انکار یې کوي، او NULL ارزښت یې مانا دا ده چې حساب خپل ځواب د لرې لاسرسي تګلارې یا د NPS اجازې څخه په میراث اخلي۔ GUI هغه دریم حالت د "Control access through NPS Network Policy" په توګه ښیي، او دا د پریکړې پرځای د نه ټاکل شوې چوکاټ په څېر لوستل کېږي۔

له همدې امله د کنسول څخه د اجازه ورکړل شوو کاروونکو شمېرل نږدې هیڅ نه وایي۔ میراثي حساب کولای شي پرته له دې چې حساب ته لاس ووهل شي نن اجازه ولري او سبا رد شي، او FALSE حساب کولای شي هغه سرور ته هم ونښلي چې تګلاره یې د کاروونکي د زنګ وهلو ځانګړتیاوو له پامه غورځولو لپاره ټاکل شوې ده۔ ځانګړتیا او تګلاره یو ځای ولولئ، که نه نو تاسو د پریکړې نیمه برخه پلټئ۔

بیرغونه صادر کړئ پرته له دې چې میراثي حسابونه له لاسه ورکړئ

صادرول د ډومین کنټرولر څخه، یا د Active Directory ماډیول لرونکي کاري سټیشن څخه چل کړئ، او خامه فایل د ثبوت په توګه وساتئ، د دې پرځای چې لنډیز بیا ولیکئ:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

یوازې یو LDAP فلټر په بدلون ثبت کې د نښلولو لپاره اسانه دی۔ دا یوازې روښانه اجازې بیرته راګرځوي:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

بیا پرته له زنګ وهلو بندې بیا پوښتنه وکړئ او هغه حسابونه وپلټئ چې ارزښت یې نشته۔ هغوی میراثي دي، معمولاً په ډومین کې ترټولو لوی ګروپ، او د هغوی له پامه غورځول پلټنه د هغو څو کسانو لیست ته اړوي چې یو چا د لاسي برابرولو یاد درلود۔

بیرغ له ګروپي لاسرسي او د حساب روغتیا څخه جلا کړئ

ځانګړتیا یوې پوښتنې ته ځواب ورکوي: ایا دا حساب کولای شي زنګ ووهي۔ دا هیڅ نه وایي چې ایا کس لا هم دلته کار کوي، ایا حساب فعال دی، یا ایا په مرستې میز کې یادښت کې ګډ پټنوم پروت دی۔ صادرول د فعال حالت، د وروستي ننوتلو نېټې او د هغه ګروپ غړیتوب سره یو ځای کړئ چې سرور ته لاسرسی ورکوي۔

تاسو د هغو ترکیبونو له مخې عمل کوئ۔ غیر فعال حساب TRUE سره یوازې شور دی۔ فعال حساب TRUE سره چې یو کال نه دی ننوتلی د لرې کولو نوماند دی۔ خو په VPN ګروپ کې میراثي حساب چې هیڅوک یې تشریح نه شي کولای هماغه ریښتینی مهم موندنه ده، ځکه چې هیڅ یو تنظیم نه ثبتوي چې ولې ورکړل شو۔

دا له هغه ډومین کنټرولر څخه ولولئ چې VPN سرور په رښتیا د هغه پر وړاندې تصدیق کوي۔ د تکرار ځنډ کولای شي هغه ارزښت وښیي چې سرور دمخه بدل کړی دی، او هغه پلټنه چې زوړ DC ارزښت نقل کړي هغه ساه چې څوک بیا وګوري ننګول کېږي۔

یو حساب بدل کړئ او ثابت کړئ چې بدلون ورسېد

د لاسرسي د لرې کولو لپاره ځانګړتیا FALSE ته وټاکئ، د پاکولو پرځای۔ پاکول حساب بیرته تګلارې میراث ته راګرځوي چې کېدای شي په راتلونکې نښلېدنه کې بیا اجازه ورکړي، او بدلون د سمون په څېر ښکاري خو په رښتیا بل تصمیم دی:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

دویمه کرښه د میراث بیا تنظیم دی، په قصد جلا ساتل شوی ترڅو څوک دوه عملیات سره ګډ نه کړي۔ بیا له دویمې غونډې څخه تایید کړئ، ځانګړتیا بیا ولولئ، او د انکار لپاره د NPS حسابي پیښې وګورئ نه دا چې د کنسول تازه کولو باندې باور وکړئ۔

په پای کې ولیکئ چې د هر لرې لاسرسي خدمت لپاره کوم میکانیزم د پریکړې مالک دی۔ که تګلاره د کاروونکي زنګ وهلو ځانګړتیاوې له پامه غورځوي، ګروپي شرط واکمن دی او ځانګړتیا یوازې د هغه خدمت لپاره سلاکاره ده۔ په یوه ډومین کې دوه خدمتونه کولای شي په قانوني توګه جلا ځواب ورکړي، او د بیاکتنې ثبت باید دا د هر خدمت لپاره په یوه کرښه کې ووایي۔

هغه پایله چې پلټنه یې زغمي لنډه ده: څوک کولای شي ونښلي، په کوم میکانیزم، کله بیاکتنه شوې، د چا له خوا۔ د زنګ وهلو بیرغ لومړي دوه ځوابونه ورکوي؛ پاتې یوازې د تګلارې بیاکتنه ورکوي۔