யார் டயல் இன் செய்யலாம்? VPN அணுகலுக்கு முன் msNPAllowDialin தணிக்கை

கடவுச்சொல் சரியானது, கணக்கு VPN குழுவில் உள்ளது, இன்னும் எந்தக் கொள்கையையும் குறிப்பிடாத செய்தியுடன் இணைப்பு மறுக்கப்படுகிறது. இது Windows தொலை அணுகல் சேவையகத்தில் நிகழும்போது, நான் முதலில் பார்ப்பது NPS விதி அல்ல, யாரும் திறக்காத ஒரு Active Directory பண்பு: msNPAllowDialin, அதாவது Dial-in தாவலுக்குப் பின்னால் உள்ள மதிப்பு. அதற்கு மூன்று நிலைகள் உள்ளன, மூன்றாவது அமைதியாக முடிவை வேறு இடத்திற்கு வழங்குகிறது. பெரும்பாலான நேரங்களில் யாரும் அதை வேண்டுமென்றே மாற்றவில்லை: கணக்கு ஒரு வார்ப்புருவிலிருந்து நகலெடுக்கப்பட்டது, அல்லது ஆண்டுகளுக்கு முன்பு வெளிப்படையான மறுப்பை எழுதிய, மீண்டும் ஒருபோதும் மதிப்பாய்வு செய்யப்படாத ஸ்கிரிப்ட் மூலம் உருவாக்கப்பட்டது.

கொள்கை படிக்கப்படுவதற்கு முன்பே மறுப்பு நிகழலாம்

Windows அங்கீகார முடிவைக் கட்டமைக்கும்போது கணக்கின் டயல்-இன் அனுமதியைச் சரிபார்க்கிறது, எனவே வெளிப்படையான மறுப்பு உரையாடலை விரைவாக முடிக்கிறது. கிளையண்டில் தெரிவது ஒரு பொதுவான அங்கீகாரத் தோல்வி, சில நேரங்களில் சான்றிதழ் பரிமாற்றம் முடிந்த பிறகு, அதனால்தான் மக்கள் ஒருபோதும் பிரச்சினையாக இல்லாத சான்றுகளைச் சோதிப்பதில் பிற்பகலைக் கழிக்கிறார்கள்.

எதிர்மறை நிலையும் அதே அளவு குழப்பமானது. கொடி ஒருபோதும் அமைக்கப்படாத கணக்கு, கொள்கை அனுமதித்ததால் வெற்றிகரமாக இணைக்க முடியும், பின்னர் அதே கணக்கு, யாரோ தொடர்பில்லாத காரணத்திற்காக NPS விதியைத் திருத்தும்போது இணைப்பதை நிறுத்துகிறது. இந்த இரண்டு நிகழ்வுகளில் எதுவும் வெளியில் இருந்து டயல்-இன் அனுமதியின் மாற்றமாகத் தெரியவில்லை.

மூன்று நிலைகள், மூன்றாவது கண்ணுக்குத் தெரியாதது

TRUE டயல்-இன்னை அனுமதிக்கிறது, FALSE அதை மறுக்கிறது, NULL மதிப்பு என்பது கணக்கு தன் பதிலை தொலை அணுகல் கொள்கை அல்லது NPS அங்கீகாரத்திலிருந்து மரபுரிமையாகப் பெறுகிறது என்பதாகும். GUI அந்த மூன்றாவது நிலையை "Control access through NPS Network Policy" எனக் காட்டுகிறது, அது முடிவை விட குறிக்கப்படாத தேர்வுப்பெட்டி போல் படிக்கப்படுகிறது.

அதனால்தான் கன்சோலில் இருந்து அனுமதிக்கப்பட்ட பயனர்களை எண்ணுவது கிட்டத்தட்ட எதையும் சொல்லாது. மரபுரிமைக் கணக்கு கணக்கைத் தொடாமலேயே இன்று அனுமதிக்கப்பட்டு நாளை மறுக்கப்படலாம், FALSE கணக்கு பயனரின் டயல்-இன் பண்புகளைப் புறக்கணிக்க அமைக்கப்பட்ட கொள்கையுள்ள சேவையகத்திலும் இணைக்க முடியும். பண்பையும் கொள்கையையும் சேர்த்துப் படியுங்கள், இல்லையெனில் நீங்கள் பாதி முடிவைத் தணிக்கை செய்கிறீர்கள்.

மரபுரிமைக் கணக்குகளை இழக்காமல் கொடிகளை ஏற்றுமதி செய்யுங்கள்

ஏற்றுமதியை களக் கட்டுப்படுத்தியிலிருந்து, அல்லது Active Directory தொகுதி உள்ள பணிநிலையத்திலிருந்து இயக்கி, சுருக்கத்தை மீண்டும் தட்டச்சு செய்வதற்குப் பதிலாக மூலக் கோப்பைச் சான்றாக வைத்திருங்கள்:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

ஒரே LDAP வடிகட்டி மாற்றப் பதிவில் ஒட்ட எளிதானது. இது வெளிப்படையான அனுமதிகளை மட்டும் திருப்பித் தருகிறது:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

பின்னர் டயல்-இன் விதியின்றி மீண்டும் வினவி, மதிப்பு இல்லாத கணக்குகளைத் தேடுங்கள். அவையே மரபுரிமையானவை, பொதுவாக களத்தில் மிகப்பெரிய குழு, அவற்றைத் தவிர்த்தால் தணிக்கை யாரோ கைமுறையாக அமைக்க நினைவில் வைத்த சிலரின் பட்டியலாக மாறும்.

கொடியைக் குழு அணுகலிலிருந்தும் கணக்கின் ஆரோக்கியத்திலிருந்தும் பிரிக்கவும்

பண்பு ஒரு கேள்விக்குப் பதிலளிக்கிறது: இந்தக் கணக்கு டயல் இன் செய்யலாமா. நபர் இன்னும் இங்கே வேலை செய்கிறாரா, கணக்கு இயக்கப்பட்டுள்ளதா, அல்லது உதவி மேசைக் குறிப்பில் பகிரப்பட்ட கடவுச்சொல் உள்ளதா என்பதை அது சொல்லாது. ஏற்றுமதியை இயக்க நிலை, கடைசி உள்நுழைவு தேதி, சேவையகத்திற்கு அணுகல் தரும் குழு உறுப்பினர் நிலை ஆகியவற்றுடன் இணைக்கவும்.

நீங்கள் செயல்படுவது சேர்க்கைகள் மீதுதான். முடக்கப்பட்ட கணக்கு TRUE உடன் வெறும் இரைச்சல். இயக்கப்பட்ட கணக்கு TRUE உடன் ஒரு வருடம் உள்நுழையவில்லை என்றால் அது நீக்குவதற்கான வேட்பாளர். ஆனால் VPN குழுவில் உள்ள மரபுரிமைக் கணக்கு யாராலும் விளக்க முடியாததாக இருந்தால் அதுவே உண்மையான முக்கியமான கண்டுபிடிப்பு, ஏனெனில் எந்த ஒரு அமைப்பும் அது ஏன் வழங்கப்பட்டது என்பதைப் பதிவு செய்யவில்லை.

VPN சேவையகம் உண்மையில் அங்கீகரிக்கும் களக் கட்டுப்படுத்தியிலிருந்து அதைப் படியுங்கள். பிரதி தாமதம் சேவையகம் ஏற்கனவே மாற்றிய மதிப்பைக் காட்டலாம், காலாவதியான DC மதிப்பை மேற்கோள் காட்டும் தணிக்கை யாராவது மீண்டும் சரிபார்க்கும் அந்தக் கணத்தில் சவால் செய்யப்படும்.

ஒரு கணக்கை மாற்றி, மாற்றம் வந்தடைந்ததை நிரூபியுங்கள்

அணுகலை நீக்க, பண்பை FALSE ஆக அமைக்கவும், அதை அழிப்பதற்குப் பதிலாக. அழிப்பது கணக்கைக் கொள்கை மரபுரிமைக்குத் திருப்புகிறது, அது அடுத்த இணைப்பில் மீண்டும் அனுமதிக்கலாம், மாற்றம் ஒரு திருத்தம் போல் தோன்றினாலும் உண்மையில் அது வேறு முடிவு:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

இரண்டாவது வரி மரபுரிமையின் மீளமைப்பு, இரண்டு செயல்பாடுகளையும் யாரும் குழப்பாமல் இருக்க வேண்டுமென்றே தனியாக வைக்கப்பட்டுள்ளது. பின்னர் இரண்டாவது அமர்விலிருந்து உறுதிப்படுத்தி, பண்பை மீண்டும் படித்து, கன்சோல் புதுப்பிப்பை நம்புவதற்குப் பதிலாக மறுப்புக்கான NPS கணக்கியல் நிகழ்வுகளைச் சரிபார்க்கவும்.

இறுதியாக, ஒவ்வொரு தொலை அணுகல் சேவைக்கும் எந்த இயங்குமுறை முடிவைச் சொந்தமாகக் கொண்டுள்ளது என்பதை எழுதுங்கள். கொள்கை பயனரின் டயல்-இன் பண்புகளைப் புறக்கணித்தால், குழு நிபந்தனையே அதிகாரம் வாய்ந்தது, பண்பு அந்தச் சேவைக்கு மட்டும் அறிவுரைப் பண்புடையது. ஒரே களத்தில் உள்ள இரண்டு சேவைகள் சட்டப்பூர்வமாக வித்தியாசமாகப் பதிலளிக்கலாம், மதிப்பாய்வுப் பதிவு அதை ஒவ்வொரு சேவைக்கும் ஒரு வரியில் கூற வேண்டும்.

தணிக்கையைத் தாண்டி நிற்பது சுருக்கமானது: யார் இணைக்கலாம், எந்த இயங்குமுறையில், எப்போது மதிப்பாய்வு செய்யப்பட்டது, யாரால். டயல்-இன் கொடி முதல் இரண்டு பதில்களைத் தருகிறது; மீதியைக் கொள்கை மதிப்பாய்வு மட்டுமே தருகிறது.