ఎవరు డయల్ ఇన్ చేయగలరు? VPN యాక్సెస్‌కు ముందు msNPAllowDialin ఆడిట్

పాస్‌వర్డ్ సరైనది, ఖాతా VPN గ్రూప్‌లో ఉంది, అయినా ఏ విధానాన్నీ ప్రస్తావించని సందేశంతో కనెక్షన్ తిరస్కరించబడుతోంది. ఇది Windows రిమోట్ యాక్సెస్ సర్వర్‌లో జరిగినప్పుడు, నేను మొదట చూసేది NPS నియమం కాదు, ఎవరూ తెరవని ఒక Active Directory లక్షణం: msNPAllowDialin, అంటే Dial-in ట్యాబ్ వెనుక ఉన్న విలువ. దానికి మూడు స్థితులు ఉన్నాయి, మూడవది నిర్ణయాన్ని నిశ్శబ్దంగా మరెక్కడికో అప్పగిస్తుంది. చాలాసార్లు ఎవరూ దాన్ని ఉద్దేశపూర్వకంగా మార్చలేదు: ఖాతా ఒక టెంప్లేట్ నుండి క్లోన్ చేయబడింది, లేదా సంవత్సరాల క్రితం స్పష్టమైన నిషేధాన్ని రాసిన, మళ్లీ ఎప్పుడూ సమీక్షించని స్క్రిప్ట్ ద్వారా సృష్టించబడింది.

విధానం చదవకముందే తిరస్కరణ జరగవచ్చు

Windows అధికార నిర్ణయాన్ని నిర్మిస్తున్నప్పుడు ఖాతా యొక్క డయల్-ఇన్ అనుమతిని తనిఖీ చేస్తుంది, కాబట్టి స్పష్టమైన నిషేధం సంభాషణను త్వరగా ముగిస్తుంది. క్లయింట్‌లో కనిపించేది సాధారణ ప్రామాణీకరణ వైఫల్యం, కొన్నిసార్లు సర్టిఫికెట్ మార్పిడి పూర్తయిన తర్వాత, అందుకే ప్రజలు ఎప్పుడూ సమస్య కాని ఆధారాలను పరీక్షించడంలో మధ్యాహ్నం గడుపుతారు.

వ్యతిరేక సందర్భం కూడా అంతే గందరగోళంగా ఉంటుంది. ఫ్లాగ్ ఎప్పుడూ సెట్ చేయని ఖాతా విధానం అనుమతించినందున విజయవంతంగా కనెక్ట్ కావచ్చు, ఆ తర్వాత ఎవరో సంబంధం లేని కారణంతో NPS నియమాన్ని సవరించినప్పుడు అదే ఖాతా కనెక్ట్ కావడం ఆపేస్తుంది. ఆ రెండు సంఘటనల్లో ఏదీ బయటి నుండి డయల్-ఇన్ అనుమతి మార్పులా కనిపించదు.

మూడు స్థితులు, మూడవది కనిపించదు

TRUE డయల్-ఇన్‌ను అనుమతిస్తుంది, FALSE దాన్ని తిరస్కరిస్తుంది, NULL విలువ అంటే ఖాతా తన సమాధానాన్ని రిమోట్ యాక్సెస్ విధానం లేదా NPS అధికారం నుండి వారసత్వంగా పొందుతుంది. GUI ఆ మూడవ స్థితిని "Control access through NPS Network Policy" గా చూపిస్తుంది, అది నిర్ణయం కంటే గుర్తించని చెక్‌బాక్స్‌లా చదవబడుతుంది.

అందుకే కన్సోల్ నుండి అనుమతించిన వినియోగదారులను లెక్కించడం దాదాపు ఏమీ చెప్పదు. వారసత్వ ఖాతా ఖాతాను తాకకుండానే ఈరోజు అనుమతించబడి రేపు తిరస్కరించబడవచ్చు, FALSE ఖాతా వినియోగదారు డయల్-ఇన్ లక్షణాలను పట్టించుకోకుండా సెట్ చేసిన విధానం ఉన్న సర్వర్‌పై కూడా కనెక్ట్ కావచ్చు. లక్షణాన్ని, విధానాన్ని కలిసి చదవండి, లేకపోతే మీరు సగం నిర్ణయాన్ని ఆడిట్ చేస్తున్నారు.

వారసత్వ ఖాతాలను కోల్పోకుండా ఫ్లాగ్‌లను ఎగుమతి చేయండి

ఎగుమతిని డొమైన్ కంట్రోలర్ నుండి, లేదా Active Directory మాడ్యూల్ ఉన్న వర్క్‌స్టేషన్ నుండి అమలు చేయండి, సారాంశాన్ని మళ్లీ టైప్ చేయడం బదులు ముడి ఫైల్‌ను సాక్ష్యంగా ఉంచండి:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

ఒకే LDAP ఫిల్టర్ మార్పు రికార్డులో అతికించడం సులభం. ఇది స్పష్టమైన అనుమతులను మాత్రమే తిరిగి ఇస్తుంది:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

తర్వాత డయల్-ఇన్ నిబంధన లేకుండా మళ్లీ ప్రశ్నించి, విలువ లేని ఖాతాలను వెతకండి. అవే వారసత్వమైనవి, సాధారణంగా డొమైన్‌లో అతిపెద్ద గ్రూప్, వాటిని దాటవేస్తే ఆడిట్ ఎవరో చేతితో సెట్ చేయాలని గుర్తుంచుకున్న కొద్దిమంది జాబితాగా మారుతుంది.

ఫ్లాగ్‌ను గ్రూప్ యాక్సెస్ నుండి, ఖాతా ఆరోగ్యం నుండి వేరు చేయండి

లక్షణం ఒక ప్రశ్నకు సమాధానం ఇస్తుంది: ఈ ఖాతా డయల్ ఇన్ చేయగలదా. వ్యక్తి ఇంకా ఇక్కడ పని చేస్తున్నారా, ఖాతా ప్రారంభించబడిందా, లేదా సహాయ డెస్క్ నోట్‌లో పంచుకున్న పాస్‌వర్డ్ ఉందా అనేది అది చెప్పదు. ఎగుమతిని ప్రారంభ స్థితి, చివరి లాగిన్ తేదీ మరియు సర్వర్‌కు యాక్సెస్ ఇచ్చే గ్రూప్ సభ్యత్వంతో జోడించండి.

మీరు చర్య తీసుకునేది కలయికల ఆధారంగా. నిష్క్రియ ఖాతా TRUE తో కేవలం శబ్దం. సక్రియ ఖాతా TRUE తో ఒక సంవత్సరం లాగిన్ కాకపోతే అది తొలగింపుకు అభ్యర్థి. కానీ VPN గ్రూప్‌లో ఉన్న వారసత్వ ఖాతా ఎవరూ వివరించలేకపోతే అదే నిజమైన ముఖ్యమైన ఆవిష్కరణ, ఎందుకంటే అది ఎందుకు ఇవ్వబడిందో ఏ ఒక్క సెట్టింగ్ నమోదు చేయదు.

VPN సర్వర్ నిజంగా ప్రామాణీకరించే డొమైన్ కంట్రోలర్ నుండి దాన్ని చదవండి. ప్రతిరూప ఆలస్యం సర్వర్ ఇప్పటికే భర్తీ చేసిన విలువను చూపవచ్చు, పాత DC విలువను ఉటంకించే ఆడిట్ ఎవరైనా మళ్లీ తనిఖీ చేసిన క్షణంలోనే సవాలు చేయబడుతుంది.

ఒక ఖాతాను మార్చి మార్పు చేరిందని నిరూపించండి

యాక్సెస్ తొలగించడానికి లక్షణాన్ని FALSE కు సెట్ చేయండి, దాన్ని తుడవడం బదులు. తుడవడం ఖాతాను విధాన వారసత్వానికి తిరిగి తెస్తుంది, అది తదుపరి కనెక్షన్‌లో మళ్లీ అనుమతించవచ్చు, మార్పు సవరణలా కనిపించినా నిజానికి అది వేరే నిర్ణయం:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

రెండవ పంక్తి వారసత్వ రీసెట్, రెండు కార్యకలాపాలను ఎవరూ గందరగోళపరచకుండా ఉద్దేశపూర్వకంగా వేరుగా ఉంచబడింది. తర్వాత రెండవ సెషన్ నుండి నిర్ధారించి, లక్షణాన్ని మళ్లీ చదివి, కన్సోల్ రిఫ్రెష్‌ను నమ్మడం బదులు తిరస్కరణ కోసం NPS అకౌంటింగ్ ఈవెంట్‌లను తనిఖీ చేయండి.

చివరగా, ప్రతి రిమోట్ యాక్సెస్ సేవకు ఏ యంత్రాంగం నిర్ణయాన్ని కలిగి ఉందో రాయండి. విధానం వినియోగదారు డయల్-ఇన్ లక్షణాలను పట్టించుకోకపోతే, గ్రూప్ షరతే అధికారికం, లక్షణం ఆ సేవకు మాత్రమే సలహా స్వరూపం. ఒకే డొమైన్‌లోని రెండు సేవలు చట్టబద్ధంగా భిన్నంగా సమాధానం ఇవ్వవచ్చు, సమీక్ష రికార్డు దాన్ని ప్రతి సేవకు ఒక పంక్తిలో చెప్పాలి.

ఆడిట్‌ను తట్టుకునే ఫలితం చిన్నది: ఎవరు కనెక్ట్ కావచ్చు, ఏ యంత్రాంగంలో, ఎప్పుడు సమీక్షించబడింది, ఎవరిచే. డయల్-ఇన్ ఫ్లాగ్ మొదటి రెండు సమాధానాలు ఇస్తుంది; మిగిలినవి విధాన సమీక్ష మాత్రమే ఇస్తుంది.