Kush mund të telefonojë? Auditimi i msNPAllowDialin përpara aksesit VPN

Fjalëkalimi është i saktë, llogaria është në grupin VPN dhe lidhja prapëseprapë refuzohet me një mesazh që nuk përmend asnjë politikë. Kur kjo ndodh në një server aksesi në distancë Windows, vendi i parë ku shikoj nuk është rregulli i NPS, por një atribut i Active Directory që askush nuk e hap: msNPAllowDialin, vlera pas skedës Dial-in. Ka tre gjendje, dhe e treta ia dorëzon në heshtje vendimin një vendi tjetër. Shumicën e kohës askush nuk e ka ndryshuar me qëllim: llogaria u klonua nga një model ose u krijua nga një skript që shkruante një refuzim të qartë vite më parë dhe nuk u rishqyrtua kurrë.

Refuzimi mund të ndodhë para se të lexohet politika

Windows kontrollon lejen e telefonimit të llogarisë ndërsa ndërton vendimin e autorizimit, kështu që një refuzim i qartë e përfundon bisedën herët. Ajo që shihni në klient është një dështim i përgjithshëm vërtetimi, ndonjëherë pasi përfundon shkëmbimi i certifikatave, dhe për këtë arsye njerëzit e kalojnë pasditen duke testuar kredenciale që nuk ishin kurrë problemi.

Rasti i kundërt është po aq konfuz. Një llogari ku flamuri nuk është vendosur kurrë mund të lidhet me sukses sepse politika e lejonte, dhe pastaj e njëjta llogari ndalon së lidhuri kur dikush redakton rregullin e NPS për një arsye të palidhur. Asnjë nga të dy ngjarjet nuk duket nga jashtë si një ndryshim i lejes së telefonimit.

Tre gjendje, dhe e treta është e padukshme

TRUE lejon telefonimin, FALSE e refuzon, dhe një NULL do të thotë që llogaria e trashëgon përgjigjen nga politika e aksesit në distancë ose autorizimi i NPS. GUI e shfaq atë gjendje të tretë si "Control access through NPS Network Policy", dhe lexohet si një kuti e pashënuar më shumë sesa si një vendim.

Për këtë arsye numërimi i përdoruesve të lejuar nga konsola nuk thotë pothuajse asgjë. Një llogari e trashëguar mund të jetë e lejuar sot dhe e refuzuar nesër pa u prekur llogaria, dhe një FALSE llogari mund të vazhdojë të lidhet në një server politika e të cilit është konfiguruar të injorojë vetitë e telefonimit të përdoruesit. Lexoni atributin dhe politikën bashkë, përndryshe po auditoni gjysmën e një vendimi.

Eksportoni flamujt pa humbur llogaritë e trashëguara

Ekzekutoni eksportimin nga një kontrollues domeni, ose nga një stacion pune me modulin Active Directory, dhe ruani skedarin e papërpunuar si provë në vend që të rishkruani një përmbledhje:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Një filtër i vetëm LDAP është më i lehtë për t'u ngjitur në një regjistër ndryshimi. Ky kthen vetëm lejet e qarta:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Pastaj pyesni përsëri pa klauzolën e telefonimit dhe kërkoni llogari që u mungon vlera. Ato janë të trashëguarat, zakonisht grupi më i madh në domen, dhe anashkalimi i tyre e kthen auditimin në një listë të pak njerëzve që dikush u kujtua t'i konfiguronte me dorë.

Ndani flamurin nga aksesi i grupit dhe shëndeti i llogarisë

Atributi përgjigjet një pyetjeje: a mund të telefonojë kjo llogari. Nuk thotë asgjë nëse personi punon ende këtu, nëse llogaria është e aktivizuar, ose nëse një fjalëkalim i përbashkët ndodhet në një shënim të ndihmës. Çiftoni eksportimin me gjendjen e aktivizimit, datën e hyrjes së fundit dhe anëtarësimin në grupin që jep akses në server.

Veproni mbi kombinimet. Një llogari e çaktivizuar me TRUE është thjesht zhurmë. Një llogari e aktivizuar me TRUE që nuk është identifikuar për një vit është kandidate për heqje. Një llogari e trashëguar në grupin VPN që askush nuk mund ta shpjegojë është zbulimi që ka rëndësi, sepse asnjë rregullim i vetëm nuk regjistron përse u dha.

Lexojeni nga kontrolluesi i domenit ndaj të cilit serveri VPN vërtet autentikohet. Vonesa e replikimit mund të tregojë një vlerë që serveri e ka zëvendësuar tashmë, dhe një auditim që citon një vlerë të vjetruar të DC-së do të kundërshtohet në momentin që dikush kontrollon përsëri.

Ndryshoni një llogari dhe provoni se ndryshimi arriti

Për të hequr aksesin, vendosni atributin në FALSE, në vend që ta pastroni. Pastrimi e kthen llogarinë në trashëgiminë e politikës, e cila mund ta lejojë përsëri në lidhjen tjetër, dhe ndryshimi duket si një rregullim ndërsa në të vërtetë është një vendim tjetër:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Rreshti i dytë është rivendosja e trashëgimisë, mbajtur veçmas me qëllim që askush të mos i ngatërrojë dy operacionet. Pastaj konfirmoni nga një sesion i dytë, rilexoni atributin dhe kontrolloni ngjarjet e kontabilitetit të NPS për refuzimin në vend që t'i besoni rifreskimit të konsolës.

Së fundi, shkruani cili mekanizëm zotëron vendimin për çdo shërbim aksesi në distancë. Nëse politika injoron vetitë e telefonimit të përdoruesit, kushti i grupit është autoritar dhe atributi është vetëm këshillues për atë shërbim. Dy shërbime në të njëjtin domen mund të përgjigjen në mënyrë legjitime ndryshe, dhe regjistri i shqyrtimit duhet ta thotë këtë në një rresht për shërbim.

Rezultati që i mbijeton një auditimi është i shkurtër: kush mund të lidhet, me cilin mekanizëm, kur u shqyrtua, nga kush. Flamuri i telefonimit jep dy përgjigjet e para; pjesën tjetër e jep vetëm shqyrtimi i politikës.