ธุรกิจที่ปรับใช้ Windows Server จัดการคอมพิวเตอร์และนโยบายต่างๆ สำคัญมาก สิ่งดีของการจัดการ Server คือไม่ต้องอยู่หน้าคอมพิวเตอร์จริง สามารถ Remote login เข้า Server จากที่ไหนก็ได้ หมายความว่าคนอื่นก็อาจพยายาม Login ได้ บทความนี้จะแชร์วิธีกำหนดค่า Remote Access Client Account Lockout ใน Windows Server ด้วยวิธี Registry
กำหนดค่า Remote Access Client Account Lockout
หากสงสัยว่าทำไมต้องมี Lockout setup คือเพื่อกันโจมตี การตั้งค่านี้ไม่ได้กันแค่ผู้โจมตีที่ทายรหัสผ่าน แต่ยังรวม Dictionary attack ด้วย อาจเกิดกับผู้ใช้ที่ถูกต้องแต่จดรหัสผ่านไม่ได้ Lockout ให้ผู้ใช้ไม่สามารถพยายามโจมตีได้เป็นระยะเวลา ทำให้ความปลอดภัยดียิ่งขึ้น
แต่ก็หมายถึงอาจล็อกบัญชีผู้ใช้ที่ถูกต้อง ซึ่งรบกวน ในบทความนี้จะแสดงวิธี Unlock Remote Access Client ด้วยตนเองด้วย
ขึ้นอยู่กับสิ่งที่ใช้สำหรับ Authentication ให้กำหนดค่า Registry ตามนั้น หากใช้ Microsoft Windows Authentication ให้กำหนดค่า Registry บน Remote Access Server แต่หากใช้ RADIUS สำหรับ RAS ให้กำหนดค่าบน Internet Authentication Server (IAS)
รายการที่จะกำหนดค่า:
- จำนวนครั้งที่พยายามล้มเหลวก่อน Lockout
- เวลาที่นับ Lockout จะรีเซ็ต
อย่าลืมสำรอง Registry ก่อนเปลี่ยนแปลง
เปิดใช้งาน Remote Access Client Account Lockout
เปิด Registry Editor พิมพ์ Regedit ใน Run กด Enter ไปที่ Registry key:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteAccess\Parameters\AccountLockout
หาและดับเบิลคลิก MaxDenials ตั้งค่าเป็นตัวเลขมากกศูนย์ ซึ่งก็คือจำนวนครั้งที่พยายามล้มเหลว หากตั้งเป็น 2 ครั้งที่ 3 จะ Lockout คลิก OK
ต่อไป ดับเบิลคลิก ResetTime (mins) ซึ่งเป็น Hexadecimal ค่าเริ่มต้น 2 วัน ตั้งตามนโยบายบริษัท
คลิก OK ออกจาก Registry Editor
แก้ไข Registry เพื่อ Unlock Remote Access Client ด้วยตนเอง
สมมติว่ามีบัญชีถูก Lock และต้องการ Unlock เพราะ Lockout timeout ยาวนาน ทุกครั้งที่ User ถูก Lock จะมี Entry ในรูปแบบ DomainName:UserName เพื่อปลดล็อก ต้องลบ Entry นั้น
- เปิด Registry Editor ไปที่พาธ:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\RemoteAccess\Parameters\AccountLockout
- หา Value Domain Name:User Name และลบ Entry นั้น
- ปิด Registry Editor ตรวจสอบว่าบัญชีผู้ใช้ Login ด้วย Credentials ที่ถูกต้องได้แล้ว
เพียงเท่านี้ สำรอง Registry settings เสมอก่อนเปลี่ยนแปลง
หวังว่าบทความให้ความเข้าใจชัดเจนเกี่ยวกับการกำหนดค่า Lockout และ Unlock Remote Client
