Ко сме да бира? Ревизија msNPAllowDialin пре приступа преко VPN

msNPAllowDialin има три стања, а NULL препушта одлуку NPS-у. Извезите заставице, одвојите их од групног приступа и забележите ко је шта прегледао.

Лозинка је тачна, налог је у VPN групи, а веза се ипак одбија поруком која не помиње ниједну политику. Када се то догоди на Windows серверу за даљински приступ, прво место које гледам није правило NPS-а, већ један Active Directory атрибут који нико не отвара: msNPAllowDialin, вредност иза језичка Dial-in. Има три стања, а треће тихо предаје одлуку на друго место. Најчешће га нико није променио намерно: налог је клониран из шаблона или га је направила скрипта која је пре година записала изричито одбијање и никад није поново прегледана.

Одбијање може да се догоди пре него што се политика прочита

Windows проверава дозволу налога за бирање док гради одлуку о ауторизацији, па изричито одбијање рано завршава разговор. Оно што видите на клијенту је општа грешка провере идентитета, понекад након завршетка размене сертификата, и зато људи проведу поподне тестирајући акредитиве које никада нису биле проблем.

Обрнут случај је једнако збуњујући. Налог на ком заставица никада није постављена може успешно да се повеже јер је политика то дозвољавала, а затим исти налог престаје да се повезује када неко из невезаног разлога уреди правило NPS-а. Ниједан од та два догађаја споља не изгледа као промена дозволе за бирање.

Три стања, а треће је невидљиво

TRUE дозвољава бирање, FALSE га одбија, а NULL значи да налог наслеђује одговоре из политике даљинског приступа или NPS ауторизације. GUI приказује то треће стање као "Control access through NPS Network Policy", и оно се чита као неозначено поље, а не као одлука.

Зато бројање дозвољених корисника из конзоле готово ништа не говори. Наслеђени налог може бити дозвољен данас и одбијен сутра без икаквог додиривања налога, а FALSE налог ипак може да се повеже на сервер чија је политика подешена да игнорише својства бирања корисника. Читајте атрибут и политику заједно, иначе ревидирате половину одлуке.

Извезите заставице без губљења наслеђених налога

Покрените извоз са контролера домена или са радне станице са Active Directory модулом и сачувајте сирову датотеку као доказ, уместо да прекуцавате резиме:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Један LDAP филтер је лакше налепити у запис о промени. Овај враћа само изричита одобрења:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Затим поново упитајте без одредбе о бирању и потражите налоге којима недостаје вредност. То су наслеђени, обично највећа група у домену, и ако их прескочите, ревизија се претвара у списак неколико људи које се неко сетио да подеси ручно.

Одвојите заставицу од групног приступа и здравља налога

Атрибут одговара на једно питање: сме ли овај налог да бира. Не говори ништа о томе да ли особа још ради овде, да ли је налог омогућен или да ли у белешци службе подршке стоји заједничка лозинка. Спојите извоз са стањем омогућености, датумом последње пријаве и чланством у групи која даје приступ серверу.

Поступате по комбинацијама. Онемогућен налог са TRUE је само шум. Омогућен налог са TRUE који се није пријавио годину дана кандидат је за уклањање. А наслеђени налог у VPN групи који нико не може да објасни је прави налаз, јер ниједно појединачно подешавање не бележи зашто је додељен.

Читајте то са контролера домена против кога се VPN сервер стварно аутентификује. Кашњење репликације може да прикаже вредност коју је сервер већ заменио, а ревизија која цитира застарелу DC вредност биће оспорена оног тренутка када неко поново провери.

Промените један налог и докажите да је промена стигла

Да бисте уклонили приступ, поставите атрибут на FALSE, уместо да га очистите. Чишћење враћа налог на наслеђивање политике, које му може поново дозволити приступ при следећој вези, а промена изгледа као исправка док је заправо друга одлука:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Други ред је ресетовање наслеђивања, намерно одвојено да нико не помеша две операције. Затим потврдите из друге сесије, поново прочитајте атрибут и проверите NPS рачуноводствене догађаје за одбијање, уместо да верујете освежавању конзоле.

На крају запишите који механизам поседује одлуку за сваку услугу даљинског приступа. Ако политика игнорише својства бирања корисника, услов групе је меродаван и атрибут је само саветодавни за ту услугу. Две услуге у истом домену могу легитимно да одговоре различито, а запис о прегледу треба то да каже у једном реду по услузи.

Резултат који преживи ревизију је кратак: ко сме да се повеже, којим механизмом, када је прегледано, од кога. Заставица бирања даје прва два одговора; остатак даје само преглед политике.

Повезани чланци