SMB 2240 oor VPN: kontroleer die lys aanmeldingswerkstasies

Om ’n deel oor die tonnel oop te maak, gee fout 2240, en die eerste instink is om na roetering te kyk. Die nommer is meer spesifiek as dit. Windows sê dat die rekening dalk nie vanaf hierdie werkstasie mag aanmeld nie, wat ’n beleidsverklaring oor een rekening is eerder as ’n verklaring oor bereikbaarheid.

Hou die foutnommer in die kaartjie. Dit vernou die ondersoek tot een eienskap en een gebeurtenis.

Wat 2240 werklik benoem

Die netwerkbestuursfoutlys identifiseer 2240 as NERR_InvalidWorkstation, ’n naam wat mens letterlik moet lees. Die rekening is beperk tot ’n stel toegelate aanmeldrekenaars, en die masjien wat die geloofsbriewe aanbied, is nie een van hulle nie. Niks in daardie definisie noem die tonnel, die lêerdeel of die wagwoord nie. Die eienskap sit op die rekening en word geëvalueer wanneer die aanmelding probeer word.

Ander nommers in dieselfde familie beteken iets anders. ’n Oortreding van toegelate aanmeldure is ’n ander kode, en so ook ’n verkeerde wagwoord. Om hulle almal as ’n toegangsprobleem te rapporteer, mors die spesifisiteit wat die bedryfstelsel pas verskaf het.

Die beperking woon op die rekening, so dit volg die identiteit oral waar dit authentiseer. ’n Gebruiker wat elke dag by die kantoor werk en ’n skootrekenaar huis toe neem, kom dit net teë wanneer die masjiennaam verander, en daarom kan die fout maande lank soos ’n VPN-probleem lyk voordat iemand die patroon herken.

Twee verwante feite verduidelik dit nie. ’n NAT-toestel kan die waargenome bronadres verander sonder om die rekeningeienskap aan te raak, en ’n DNS-agtervoegselverandering kan ’n kort naam regmaak terwyl die aanmeldbeperking presies bly waar dit was. Albei is die moeite werd om uit te skakel, en nie een is ’n plaasvervanger daarvoor om die eienskap te lees nie.

Lees eers die mislukte-aanmelding-rekord

Stel vas watter identiteit die lêerbediener geauthentiseer het, en watter masjien dit aangebied het. ’n Domeinrekening, ’n plaaslike rekening met ’n soortgelyke kort naam en ’n aparte VPN-rekening is nie onderling verwisselbaar nie, en die fout maak net sin sodra die presiese een bekend is.

Die sekuriteitslog teken die poging aan met die rekening en die naam van die oproepende werkstasie, en dit is die paar waarteen die beperking geëvalueer word:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Die eerste opdrag wys die mislukking en die werkstasienaamstring wat die bediener ontvang het, en die tweede wys die toegelate lys op die rekening. Vergelyk die twee eerder as om te aanvaar dat die kliënt se eie rekenaarnaam is wat die bediener aangeteken het. ’n Naam wat verkeerd in die log lyk, is gewoonlik die nuttige bevinding, want dit noem die masjien waarmee die bediener werklik dink hy praat. Dit is die oortuiging waarteen die beperking getoets word.

Moenie die VPN-poort se naam byvoeg omdat verkeer daardeur gaan nie. Die poort is nie die geauthentiseerde oproeper nie, en om dit by die lys te voeg, verander niks terwyl dit die rekening moeiliker maak om na te gaan.

Korrigeer die beperking op die kleinste omvang

As die masjien toegelaat moet word, voeg presies daardie inskrywing by die rekening se werkstasielys en laat alles anders ongemoeid. Indien nie, is die korrekte antwoord ’n goedgekeurde masjien eerder as om die beperking te verwyder, want die beperking bestaan om te beperk waar daardie geloofsbriewe gebruik kan word.

Grootmaat-wysigings is hier algemeen en gewoonlik verkeerd. ’n Rekening met ’n lang lys toegelate masjiene is ’n rekening wie se beperking opgehou het om iets te beteken.

Dit help ook om te weet of die identiteit gedeel word. Wanneer verskeie mense een diensrekening van verskeie skootrekenaars gebruik, groei die werkstasielys totdat die beleid betekenisloos is, wat ’n ontwerpkwessie is eerder as ’n administratiewe een.

Lees die volgende resultaat, nie die afwesigheid daarvan nie

Maak ná ’n goedgekeurde verandering ’n nuwe versoek met die beoogde rekening en teken aan wat gebeur. ’n Ander fout is vordering, want dit noem die volgende stadium eerder as om die vorige een te herhaal.

’n DFS-pad kan verskeie bedieners en verskeie toegangsbesluite inbring. Om een rekeningeienskap skoon te maak, besleg een daarvan. Die verwysingsteikens moet steeds bereikbaar wees, en die deel- en lêerstelseltoestemmings op elkeen moet die rekening steeds toelaat. Werk deur die volgende fout op dieselfde manier eerder as om te aanvaar dat die eerste regstelling almal gedek het.

Daar is geen rede om die VPN-profiel te herbou of die wagwoord terug te stel terwyl Windows ’n werkstasiebeperking rapporteer nie. Microsoft se lys netwerkfoute is die moeite werd om oop te hou juis om hierdie rede: die kode sê vir jou watter eienskap om na te gaan voordat jy enigiets aanraak.