Kto smie vytáčať? Audit msNPAllowDialin pred prístupom cez VPN

Heslo je správne, konto je v skupine VPN a pripojenie sa napriek tomu odmieta správou, ktorá neuvádza žiadnu politiku. Keď sa to stane na serveri vzdialeného prístupu Windows, prvé miesto, kam sa pozerám, nie je pravidlo NPS, ale jeden atribút Active Directory, ktorý nikto neotvára: msNPAllowDialin, hodnota za kartou Dial-in. Má tri stavy a ten tretí ticho odovzdáva rozhodnutie inam. Väčšinou ho nikto nezmenil úmyselne: konto bolo skopírované zo šablóny alebo ho vytvoril skript, ktorý pred rokmi zapísal výslovné zamietnutie a už sa nikdy nepreskúmal.

Odmietnutie môže prísť skôr, než sa politika prečíta

Windows kontroluje oprávnenie konta na vytáčanie, kým zostavuje rozhodnutie o autorizácii, takže výslovné zamietnutie ukončí rozhovor skoro. Na klientovi vidíte všeobecné zlyhanie overenia, niekedy po dokončení výmeny certifikátov, a preto ľudia trávia popoludnie testovaním prihlasovacích údajov, ktoré nikdy neboli problémom.

Opačný prípad je rovnako mätúci. Konto, na ktorom príznak nikdy nebol nastavený, sa môže úspešne pripojiť, pretože to politika povolila, a potom sa to isté konto prestane pripájať, keď niekto z nesúvisiaceho dôvodu upraví pravidlo NPS. Ani jedna z tých udalostí zvonku nevyzerá ako zmena oprávnenia na vytáčanie.

Tri stavy a ten tretí je neviditeľný

TRUE vytáčanie povoľuje, FALSE ho odmieta a NULL znamená, že konto dedí odpoveď z politiky vzdialeného prístupu alebo autorizácie NPS. GUI zobrazuje tento tretí stav ako "Control access through NPS Network Policy" a číta sa to skôr ako nezaškrtnuté pole než ako rozhodnutie.

Preto vám počítanie povolených používateľov z konzoly nepovie takmer nič. Zdedené konto môže byť dnes povolené a zajtra odmietnuté bez toho, aby sa ho niekto dotkol, a FALSE konto sa napriek tomu môže pripojiť na server, ktorého politika je nastavená tak, aby ignorovala vlastnosti vytáčania používateľa. Čítajte atribút a politiku spolu, inak auditujete polovicu rozhodnutia.

Exportujte príznaky bez toho, aby ste stratili zdedené kontá

Spustite export na radiči domény alebo na pracovnej stanici s modulom Active Directory a ponechajte surový súbor ako dôkaz, namiesto prepisovania zhrnutia:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Jeden filter LDAP sa do záznamu o zmene vkladá ľahšie. Tento vracia len výslovné povolenia:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Potom sa spýtajte znova bez klauzuly o vytáčaní a hľadajte kontá, ktorým hodnota chýba. To sú tie zdedené, zvyčajne najväčšia skupina v doméne, a ak ich preskočíte, audit sa zmení na zoznam niekoľkých ľudí, ktorých niekto nezabudol nastaviť ručne.

Oddeľte príznak od skupinového prístupu a stavu konta

Atribút odpovedá na jednu otázku: smie toto konto vytáčať. Nehovorí nič o tom, či tu človek ešte pracuje, či je konto povolené alebo či v poznámke helpdesku neleží zdieľané heslo. Spojte export so stavom povolenia, dátumom posledného prihlásenia a členstvom v skupine, ktorá dáva prístup k serveru.

Konáte podľa kombinácií. Zakázané konto s TRUE je šum. Povolené konto s TRUE, ktoré sa rok neprihlásilo, je kandidátom na odstránenie. Zdedené konto v skupine VPN, ktoré nikto nevie vysvetliť, je ten skutočný nález, pretože žiadne jediné nastavenie nezaznamenáva, prečo bolo udelené.

Čítajte to z radiča domény, proti ktorému sa server VPN skutočne overuje. Oneskorenie replikácie môže ukázať hodnotu, ktorú server už nahradil, a audit, ktorý cituje zastaranú hodnotu DC, bude napadnutý v okamihu, keď to niekto znova skontroluje.

Zmeňte jedno konto a dokážte, že zmena dorazila

Ak chcete odobrať prístup, nastavte atribút na FALSE, namiesto toho, aby ste ho vymazali. Vymazanie vráti konto k dedeniu politiky, ktoré mu môže pri ďalšom pripojení znova povoliť prístup, a zmena vyzerá ako oprava, hoci je v skutočnosti iným rozhodnutím:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Druhý riadok je reset dedenia, zámerne oddelený, aby si nikto nepomýlil dve operácie. Potom to potvrďte z druhej relácie, znova prečítajte atribút a skontrolujte účtovné udalosti NPS pre odmietnutie, namiesto toho, aby ste verili obnoveniu konzoly.

Na koniec zapíšte, ktorý mechanizmus vlastní rozhodnutie pre každú službu vzdialeného prístupu. Ak politika ignoruje vlastnosti vytáčania používateľa, smerodajná je podmienka skupiny a atribút je pre túto službu len poradný. Dve služby v tej istej doméne môžu legitímne odpovedať odlišne a záznam o kontrole to má uviesť na jednom riadku pre každú službu.

Výstup, ktorý prežije audit, je krátky: kto sa smie pripojiť, pod akým mechanizmom, kedy skontrolované, kým. Príznak vytáčania dodáva prvé dve odpovede; zvyšok dodáva len kontrola politiky.