Kim dial-in qila oladi? VPN kirishidan oldin msNPAllowDialin auditi

Parol to‘g‘ri, hisob VPN guruhida, lekin ulanish baribir hech qanday siyosatni eslatmaydigan xabar bilan rad etilmoqda. Bu Windows masofaviy kirish serverida sodir bo‘lganda, birinchi qaraydigan joyim NPS qoidasi emas, balki hech kim ochmaydigan bitta Active Directory atributi: msNPAllowDialin, ya'ni Dial-in yorlig‘i orqasidagi qiymat. Uning uchta holati bor va uchinchisi qarorni jimgina boshqa joyga topshiradi. Ko‘pincha hech kim uni ataylab o‘zgartirmagan: hisob shablondan klonlangan yoki yillar oldin aniq taqiq yozgan va hech qachon qayta ko‘rilmagan skript tomonidan yaratilgan.

Rad etish siyosat o‘qilishidan oldin ham sodir bo‘lishi mumkin

Windows avtorizatsiya qarorini shakllantirayotganda hisobning dial-in ruxsatini tekshiradi, shuning uchun aniq taqiq suhbatni erta tugatadi. Mijozda ko‘rinadigan narsa umumiy autentifikatsiya xatosi, ba'zan sertifikat almashinuvi tugagandan keyin paydo bo‘ladi va shuning uchun odamlar hech qachon muammo bo‘lmagan hisob ma'lumotlarini sinab, tushdan keyin vaqtini o‘tkazadi.

Qarama-qarshi holat ham shunchalik chalkash. Bayroq hech qachon o‘rnatilmagan hisob siyosat ruxsat bergani uchun muvaffaqiyatli ulanishi mumkin, keyin o‘sha hisob kimdir aloqasiz sabab bilan NPS qoidasini tahrirlaganda ulanishni to‘xtatadi. Ikki hodisaning hech biri tashqaridan dial-in ruxsatining o‘zgarishiga o‘xshamaydi.

Uchta holat, uchinchisi ko‘rinmas

TRUE dial-in qilishga ruxsat beradi, FALSE uni rad etadi, NULL qiymati esa hisob javobini masofaviy kirish siyosatidan yoki NPS avtorizatsiyasidan meros olishini bildiradi. GUI uchinchi holatni "Control access through NPS Network Policy" sifatida ko‘rsatadi va u qaror emas, belgilanmagan katak kabi o‘qiladi.

Shuning uchun konsoldan ruxsat berilgan foydalanuvchilarni sanash deyarli hech narsa demaydi. Meros hisob bugun ruxsat berilgan, ertaga hisobga tegmasdan rad etilgan bo‘lishi mumkin, FALSE hisob esa siyosati foydalanuvchining dial-in xususiyatlarini e'tiborsiz qoldirishga sozlangan serverda ham ulanishi mumkin. Atribut va siyosatni birga o‘qing, aks holda qarorning yarmini audit qilasiz.

Meros hisoblarni yo‘qotmasdan bayroqlarni eksport qiling

Eksportni domen kontrolleridan yoki Active Directory moduli bor ish stansiyasidan ishga tushiring va xulosani qayta yozish o‘rniga xom faylni dalil sifatida saqlang:

Get-ADUser -Filter * -Properties msNPAllowDialin, LastLogonDate |
  Select-Object SamAccountName, Enabled, msNPAllowDialin, LastLogonDate |
  Sort-Object SamAccountName |
  Export-Csv -NoTypeInformation .\dialin.csv

Bitta LDAP filtrini o‘zgarish yozuviga joylash osonroq. Bu faqat aniq ruxsatlarni qaytaradi:

dsquery * -Filter "(&(objectCategory=person)(objectClass=user)(msNPAllowDialin=TRUE))" -Attr sAMAccountName

Keyin dial-in shartisiz qayta so‘rov yuboring va qiymati yo‘q hisoblarni qidiring. Aynan shular meros hisoblar, odatda domendagi eng katta guruh, ularni tashlab ketish auditni kimdir qo‘lda sozlashni eslab qolgan bir necha kishining ro‘yxatiga aylantiradi.

Bayroqni guruh kirishidan va hisob sog‘lig‘idan ajrating

Atribut bitta savolga javob beradi: bu hisob dial-in qila oladimi. U odam hali shu yerda ishlaydimi, hisob yoqilganmi yoki yordam stolining eslatmasida umumiy parol bormi — buni aytmaydi. Eksportni yoqilganlik holati, oxirgi kirish sanasi va serverga kirish beruvchi guruh a'zoligi bilan bog‘lang.

Siz harakat qiladigan narsa kombinatsiyalardir. O‘chirilgan hisob TRUE bilan faqat shovqin. Yoqilgan hisob TRUE bilan bir yil kirmagan bo‘lsa, olib tashlashga nomzod. Lekin VPN guruhidagi hech kim tushuntira olmaydigan meros hisob eng muhim topilma, chunki hech bir alohida sozlama nima uchun berilganini yozmaydi.

Uni VPN serveri haqiqatda autentifikatsiya qiladigan domen kontrolleridan o‘qing. Replikatsiya kechikishi server allaqachon almashtirgan qiymatni ko‘rsatishi mumkin, eskirgan DC qiymatiga tayangan audit esa kimdir qayta tekshirgan lahzada e'tirozga uchraydi.

Bitta hisobni o‘zgartiring va o‘zgarish yetib kelganini isbotlang

Kirishni bekor qilish uchun atributni FALSE ga o‘rnating, uni tozalash o‘rniga. Tozalash hisobni siyosat merosiga qaytaradi, bu keyingi ulanishda yana ruxsat berishi mumkin, va o‘zgarish tuzatishga o‘xshaydi, aslida esa boshqa qaror:

dsmod user "CN=Jane Doe,OU=Staff,DC=corp,DC=example" -allowDialin no
Set-ADUser -Identity jdoe -Clear msNPAllowDialin

Ikkinchi qator merosni tiklash bo‘lib, ikki amalni hech kim chalkashtirmasligi uchun ataylab alohida saqlangan. Keyin ikkinchi sessiyadan tasdiqlang, atributni qayta o‘qing va konsol yangilanishiga ishonish o‘rniga rad etish bo‘yicha NPS hisob hodisalarini tekshiring.

Nihoyat, har bir masofaviy kirish xizmati uchun qaror qaysi mexanizmga tegishli ekanini yozib qo‘ying. Agar siyosat foydalanuvchining dial-in xususiyatlarini e'tiborsiz qoldirsa, guruh sharti vakolatli, atribut esa faqat shu xizmat uchun maslahat xarakteriga ega. Bitta domendagi ikki xizmat qonuniy ravishda turlicha javob berishi mumkin va ko‘rib chiqish yozuvi buni har bir xizmat uchun bitta satrda aytishi kerak.

Auditdan omon qoladigan natija qisqa: kim ulana oladi, qaysi mexanizm bilan, qachon ko‘rib chiqilgan, kim tomonidan. Dial-in bayrog‘i birinchi ikki javobni beradi; qolganini faqat siyosat ko‘rigi beradi.