Ko smije birati? Revizija msNPAllowDialin prije VPN pristupa

Lozinka je ispravna, račun je u VPN grupi, a veza se ipak odbija porukom koja uopće ne spominje nikakvu politiku. Kad se to dogodi na Windows poslužitelju za daljinski pristup, prvo mjesto koje provjeravam nije NPS pravilo, nego jedan Active Directory atribut koji nitko ne otvara: msNPAllowDialin, vrijednost iza kartice Dial-in. Ima tri stanja, a treće tiho prepušta odluku negdje drugdje. Najčešće to nitko nije promijenio namjerno: račun je kloniran iz predloška ili ga je stvorila skripta koja je prije godina zapisala izričitu zabranu i nikad nije ponovno pregledana.

Odbijanje se može dogoditi prije nego što se politika pročita

Windows provjerava dopuštenje računa za biranje dok gradi odluku o autorizaciji, pa izričita zabrana rano prekida razgovor. Na klijentu vidite opću pogrešku provjere autentičnosti, ponekad nakon završetka razmjene certifikata, i zato ljudi provedu poslijepodne testirajući vjerodajnice koje nikad nisu bile problem.

Obrnuti slučaj jednako je zbunjujuć. Račun na kojem zastavica nikad nije postavljena može se uspješno povezati jer mu je politika to dopuštala, a zatim isti račun prestane da se povezuje kad netko iz nepovezanog razloga uredi NPS pravilo. Nijedan od tih događaja izvana ne izgleda kao promjena dopuštenja za biranje.

Tri stanja, a treće je nevidljivo

TRUE dopušta biranje, FALSE ga odbija, a NULL znači da račun nasljeđuje odgovor iz politike daljinskog pristupa ili NPS autorizacije. GUI prikazuje to treće stanje kao "Control access through NPS Network Policy", i ono se čita kao neoznačen okvir, a ne kao odluka.

Zato vam brojanje dopuštenih korisnika iz konzole gotovo ništa ne govori. Naslijeđeni račun može biti dopušten danas i odbijen sutra, a da se račun uopće ne dira, a FALSE račun se ipak može povezati na poslužitelj čija je politika postavljena da zanemari korisnička svojstva biranja. Čitajte atribut i politiku zajedno, inače revidirate pola odluke.

Izvezite zastavice bez gubljenja naslijeđenih računa

Pokrenite izvoz s kontrolera domene ili s radne stanice s modulom Active Directory i sačuvajte sirovu datoteku kao dokaz umjesto da prepisujete sažetak:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Jedan LDAP filtar lakše je zalijepiti u zapis o promjeni. Ovaj vraća samo izričita dopuštenja:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Zatim ponovno postavite upit bez odredbe o biranju i potražite račune kojima vrijednost nedostaje. To su naslijeđeni, obično najveća skupina u domeni, i ako ih preskočite, revizija se pretvara u popis nekolicine ljudi koje se netko sjetio postaviti ručno.

Odvojite zastavicu od grupnog pristupa i zdravlja računa

Atribut odgovara na jedno pitanje: smije li ovaj račun birati. Ne kaže ništa o tome radi li osoba još ovdje, je li račun omogućen ili leži li zajednička lozinka u bilješci korisničke podrške. Uparite izvoz sa stanjem omogućenosti, datumom posljednje prijave i članstvom u grupi koja daje pristup poslužitelju.

Kombinacije su ono po čemu djelujete. Onemogućen račun s TRUE je šum. Omogućen račun s TRUE koji se nije prijavio godinu dana kandidat je za uklanjanje. Naslijeđeni račun u VPN grupi koji nitko ne može objasniti pravi je nalaz, jer nijedna postavka ne bilježi zašto je odobren.

Čitajte to s kontrolera domene prema kojem se VPN poslužitelj stvarno provjerava. Kašnjenje replikacije može pokazati vrijednost koju je poslužitelj već zamijenio, a revizija koja citira zastarjelu DC vrijednost bit će osporena čim netko ponovno provjeri.

Promijenite jedan račun i dokažite da je promjena stigla

Da biste uklonili pristup, postavite atribut na FALSE, umjesto da ga obrišete. Brisanje vraća račun na nasljeđivanje politike, koje mu može ponovno dopustiti pristup pri sljedećoj vezi, a promjena izgleda kao popravak dok je zapravo druga odluka:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Drugi redak je resetiranje nasljeđivanja, namjerno odvojeno da nitko ne pobrka dvije operacije. Zatim potvrdite iz druge sesije, ponovno pročitajte atribut i provjerite NPS događaje obračuna za odbijanje, umjesto da vjerujete osvježavanju konzole.

Na kraju zapišite koji mehanizam posjeduje odluku za svaku uslugu daljinskog pristupa. Ako politika zanemaruje korisnička svojstva biranja, uvjet grupe je mjerodavan, a atribut je savjetodavan samo za tu uslugu. Dvije usluge u istoj domeni mogu legitimno odgovoriti različito, i zapis o pregledu to treba reći u jednom retku po usluzi.

Rezultat koji preživi reviziju kratak je: ko smije pristupiti, pod kojim mehanizmom, kada pregledano, od koga. Zastavica biranja daje prva dva odgovora; ostalo daje samo pregled politike.