Nani Anaweza Kupiga Simu? Ukaguzi wa msNPAllowDialin Kabla ya Ufikiaji wa VPN

Nenosiri ni sahihi, akaunti iko katika kikundi cha VPN, na bado muunganisho unakataliwa kwa ujumbe ambao hautaji sera yoyote. Hii inapotokea kwenye seva ya ufikiaji wa mbali ya Windows, mahali pa kwanza ninapotazama si kanuni ya NPS bali sifa moja ya Active Directory ambayo hakuna anayeifungua: msNPAllowDialin, yaani thamani iliyo nyuma ya kichupo cha Dial-in. Ina hali tatu, na ya tatu inakabidhi uamuzi kimya kimya mahali pengine. Mara nyingi hakuna aliyebadilisha kwa makusudi: akaunti ilinakiliwa kutoka kiolezo, au iliundwa na hati ya maandishi iliyoandika katazo la wazi miaka mingi iliyopita na haikukaguliwa tena.

Kukataliwa kunaweza kutokea kabla sera haijasomwa

Windows hukagua ruhusa ya kupiga simu ya akaunti wakati inaunda uamuzi wa uidhinishaji, kwa hivyo katazo la wazi humaliza mazungumzo mapema. Unachokiona kwa mteja ni kosa la jumla la uthibitishaji, wakati mwingine baada ya kubadilishana vyeti kukamilika, na ndiyo sababu watu hutumia mchana mzima kujaribu vitambulisho ambavyo havikuwa tatizo kamwe.

Kesi iliyo kinyume inachanganya vile vile. Akaunti ambayo bendera haikuwekwa kamwe inaweza kuunganishwa kwa mafanikio kwa sababu sera iliruhusu, kisha akaunti hiyo hiyo inaacha kuunganishwa wakati mtu anahariri kanuni ya NPS kwa sababu isiyohusiana. Hakuna moja ya matukio hayo mawili yanayofanana na mabadiliko ya ruhusa ya kupiga simu kwa mtazamaji wa nje.

Hali tatu, na ya tatu haionekani

TRUE inaruhusu kupiga simu, FALSE inakataa, na NULL inamaanisha akaunti inarithi jibu lake kutoka sera ya ufikiaji wa mbali au uidhinishaji wa NPS. GUI inaonyesha hali hiyo ya tatu kama "Control access through NPS Network Policy", na inasomwa kama kisanduku kisichowekwa alama badala ya uamuzi.

Ndiyo sababu kuhesabu watumiaji walioruhusiwa kutoka konsoli hakuambii karibu chochote. Akaunti ya urithi inaweza kuruhusiwa leo na kukataliwa kesho bila akaunti kuguswa, na FALSE akaunti bado inaweza kuunganishwa kwenye seva ambayo sera yake imewekwa kupuuza sifa za upigaji simu za mtumiaji. Soma sifa na sera kwa pamoja, vinginevyo unakagua nusu ya uamuzi.

Hamisha bendera bila kupoteza akaunti za urithi

Endesha uhamishaji kutoka kwa kidhibiti cha kikoa, au kutoka kwa kituo cha kazi kilicho na moduli ya Active Directory, na hifadhi faili ghafi kama ushahidi badala ya kuandika muhtasari tena:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Kichujio kimoja cha LDAP ni rahisi kubandika kwenye rekodi ya mabadiliko. Hiki kinarudisha ruhusa za wazi tu:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Kisha uliza tena bila kifungu cha upigaji simu na utafute akaunti ambazo thamani yake haipo. Hizo ndizo za urithi, kwa kawaida kikundi kikubwa zaidi katika kikoa, na kuziruka kunageuza ukaguzi kuwa orodha ya watu wachache ambao mtu alikumbuka kuwarekebisha kwa mkono.

Tenganisha bendera na ufikiaji wa kikundi na afya ya akaunti

Sifa inajibu swali moja: je, akaunti hii inaweza kupiga simu. Haisemi chochote kuhusu kama mtu bado anafanya kazi hapa, kama akaunti imewezeshwa, au kama nenosiri la pamoja liko kwenye kidokezo cha dawati la msaada. Oanisha uhamishaji na hali ya uwezeshaji, tarehe ya kuingia mara ya mwisho na uanachama wa kikundi kinachotoa ufikiaji wa seva.

Unachukua hatua kwa mchanganyiko. Akaunti iliyozimwa yenye TRUE ni kelele tu. Akaunti iliyowezeshwa yenye TRUE ambayo haijaingia kwa mwaka ni mtarajiwa wa kuondolewa. Lakini akaunti ya urithi katika kikundi cha VPN ambayo hakuna anayeweza kuielezea ni ugunduzi wa kweli wa maana, kwa sababu hakuna mpangilio mmoja unaorekodi kwa nini ilitolewa.

Isome kutoka kwa kidhibiti cha kikoa ambacho seva ya VPN inathibitisha kweli. Ucheleweshaji wa urudufu unaweza kuonyesha thamani ambayo seva tayari imebadilisha, na ukaguzi unaotaja thamani ya DC iliyopitwa na wakati utapingwa mara moja mtu anapokagua tena.

Badilisha akaunti moja na uthibitishe kwamba mabadiliko yalifika

Ili kuondoa ufikiaji, weka sifa kuwa FALSE, badala ya kuifuta. Kufuta kunarudisha akaunti kwenye urithi wa sera, ambayo inaweza kuiruhusu tena kwenye muunganisho unaofuata, na mabadiliko yanaonekana kama marekebisho wakati kwa kweli ni uamuzi tofauti:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Mstari wa pili ni kuweka upya urithi, uliotenganishwa kwa makusudi ili hakuna anayechanganya shughuli mbili. Kisha thibitisha kutoka kikao cha pili, soma sifa tena, na angalia matukio ya uhasibu ya NPS kwa kukataliwa badala ya kuamini uboreshaji wa konsoli.

Hatimaye, andika ni utaratibu gani unamiliki uamuzi kwa kila huduma ya ufikiaji wa mbali. Ikiwa sera inapuuza sifa za upigaji simu za mtumiaji, sharti la kikundi ndilo lenye mamlaka na sifa ni ya ushauri tu kwa huduma hiyo. Huduma mbili katika kikoa kimoja zinaweza kujibu tofauti kihalali, na rekodi ya ukaguzi inapaswa kusema hivyo kwa mstari mmoja kwa kila huduma.

Matokeo yanayostahimili ukaguzi ni mafupi: nani anaweza kuunganishwa, kwa utaratibu upi, ulikaguliwa lini, na nani. Bendera ya upigaji simu inatoa majibu mawili ya kwanza; mengine yanatokana na ukaguzi wa sera pekee.