Kimler Dial-in Yapabilir? VPN Erişiminden Önce msNPAllowDialin Denetimi

Parola doğru, hesap VPN grubunda ve bağlantı yine de hiçbir ilkeden söz etmeyen bir mesajla reddediliyor. Bu, bir Windows uzak erişim sunucusunda olduğunda ilk baktığım yer NPS kuralı değil, kimsenin açmadığı bir Active Directory özniteliğidir: msNPAllowDialin, yani Dial-in sekmesinin arkasındaki değer. Üç durumu vardır ve üçüncüsü kararı sessizce başka bir yere devreder. Çoğu zaman kimse bunu bilerek değiştirmedi: hesap bir şablondan klonlandı veya yıllar önce açık bir reddi yazan ve bir daha gözden geçirilmeyen bir betikle oluşturuldu.

Ret, ilke okunmadan önce gerçekleşebilir

Windows yetkilendirme kararını oluştururken hesabın arama iznini denetler, bu nedenle açık bir ret görüşmeyi erken bitirir. İstemcide görülen şey genel bir kimlik doğrulama hatasıdır, bazen sertifika değişimi tamamlandıktan sonra ortaya çıkar ve bu yüzden insanlar hiçbir zaman sorun olmayan kimlik bilgilerini test ederek öğleden sonrayı harcar.

Ters durum da aynı derecede kafa karıştırıcıdır. Bayrağın hiç ayarlanmadığı bir hesap, ilke izin verdiği için başarıyla bağlanabilir, sonra aynı hesap biri ilgisiz bir nedenle NPS kuralını düzenlediğinde bağlanmayı bırakır. Bu iki olaydan hiçbiri dışarıdan arama izninin değişmesi gibi görünmez.

Üç durum ve üçüncüsü görünmez

TRUE aramaya izin verir, FALSE reddeder ve bir NULL değeri hesabın yanıtını uzak erişim ilkesinden veya NPS yetkilendirmesinden devraldığı anlamına gelir. GUI bu üçüncü durumu "Control access through NPS Network Policy" olarak gösterir ve bu, bir karardan çok işaretlenmemiş onay kutusu gibi okunur.

Bu yüzden konsoldan izin verilen kullanıcıları saymak neredeyse hiçbir şey söylemez. Devralınan bir hesap, hesaba dokunulmadan bugün izinli yarın reddedilmiş olabilir ve FALSE hesap, ilkesi kullanıcının arama özelliklerini yok sayacak şekilde yapılandırılmış bir sunucuda hâlâ bağlanabilir. Özniteliği ve ilkeyi birlikte okuyun, yoksa kararın yarısını denetliyorsunuz.

Bayrakları devralınan hesapları kaybetmeden dışa aktarın

Dışa aktarmayı bir etki alanı denetleyicisinden veya Active Directory modülü olan bir iş istasyonundan çalıştırın ve özeti yeniden yazmak yerine ham dosyayı kanıt olarak saklayın:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Tek bir LDAP filtresini bir değişiklik kaydına yapıştırmak daha kolaydır. Bu filtre yalnızca açık izinleri döndürür:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Ardından arama maddesi olmadan yeniden sorgulayın ve değeri bulunmayan hesapları arayın. Bunlar devralınanlardır, genellikle etki alanındaki en büyük gruptur ve onları atlamak bir denetimi birinin elle yapılandırmayı hatırladığı birkaç kişinin listesine dönüştürür.

Bayrağı grup erişiminden ve hesap sağlığından ayırın

Öznitelik tek bir soruyu yanıtlar: bu hesap arama yapabilir mi. Kişinin hâlâ burada çalışıp çalışmadığı, hesabın etkin olup olmadığı veya yardım masası notunda paylaşılan bir parola olup olmadığı hakkında hiçbir şey söylemez. Dışa aktarmayı etkinleştirme durumu, son oturum açma tarihi ve sunucuya erişim veren grup üyeliğiyle eşleştirin.

Harekete geçtiğiniz şey kombinasyonlardır. Devre dışı bir hesap TRUE ile sadece gürültüdür. Etkin bir hesap TRUE ile bir yıldır oturum açmadıysa kaldırılma adayıdır. VPN grubundaki kimsenin açıklayamadığı devralınan bir hesap ise asıl önemli bulgudur, çünkü hiçbir tek ayar neden verildiğini kaydetmez.

Bunu VPN sunucusunun gerçekte kimlik doğruladığı etki alanı denetleyicisinden okuyun. Çoğaltma gecikmesi sunucunun zaten değiştirdiği bir değeri gösterebilir ve eski bir DC değerine atıfta bulunan bir denetim, biri yeniden kontrol ettiği anda itirazla karşılaşır.

Bir hesabı değiştirin ve değişikliğin ulaştığını kanıtlayın

Erişimi kaldırmak için özniteliği FALSE olarak ayarlayın, temizlemek yerine. Temizleme hesabı ilke devralmasına geri döndürür, bu da bir sonraki bağlantıda yeniden izin verebilir ve değişiklik bir düzeltme gibi görünürken aslında farklı bir karardır:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

İkinci satır devralmanın sıfırlanmasıdır, kimsenin iki işlemi karıştırmaması için bilerek ayrı tutulmuştur. Ardından ikinci oturumdan doğrulayın, özniteliği yeniden okuyun ve konsolun yenilenmesine güvenmek yerine ret için NPS muhasebe olaylarını kontrol edin.

Son olarak, her uzak erişim hizmeti için kararın hangi mekanizmaya ait olduğunu yazın. İlke kullanıcının arama özelliklerini yok sayıyorsa grup koşulu yetkilidir ve öznitelik yalnızca o hizmet için tavsiye niteliğindedir. Aynı etki alanındaki iki hizmet meşru olarak farklı yanıt verebilir ve inceleme kaydı bunu hizmet başına bir satırda söylemelidir.

Bir denetimden sağ çıkan çıktı kısadır: kim bağlanabilir, hangi mekanizmayla, ne zaman gözden geçirildi, kim tarafından. Arama bayrağı ilk iki yanıtı verir; geri kalanı yalnızca ilke incelemesi verir.