SMB 2240 عبر VPN: تحقق من قائمة محطات العمل المسموح لها بتسجيل الدخول

فتح مشاركة عبر النفق يعيد الخطأ 2240، والانطباع الأول هو النظر إلى التوجيه. الرقم أكثر تحديدًا من ذلك. يقول Windows إن الحساب قد لا يسجّل الدخول من محطة العمل هذه، وهذا بيان سياسة يخص حسابًا واحدًا وليس بيانًا عن قابلية الوصول.

احتفظ برقم الخطأ في التذكرة. فهو يضيّق التحقيق إلى سمة واحدة وحدث واحد.

ما الذي يسميه 2240 فعليًا

تعرّف قائمة أخطاء إدارة الشبكة 2240 باسم NERR_InvalidWorkstation، وهو اسم يستحق القراءة الحرفية. الحساب مقيّد بمجموعة من حواسيب تسجيل الدخول المسموح بها، والجهاز الذي يقدّم بيانات الاعتماد ليس بينها. لا شيء في ذلك التعريف يذكر النفق أو مشاركة الملفات أو كلمة المرور. تقع السمة على الحساب وتُقيَّم عند محاولة تسجيل الدخول.

أرقام أخرى في العائلة نفسها تعني شيئًا آخر. انتهاك ساعات تسجيل الدخول المسموح بها رمز مختلف، وكذلك كلمة المرور الخاطئة. الإبلاغ عن كلها كمشكلة وصول يهدر التحديد الذي قدّمه نظام التشغيل للتو.

يعيش القيد على الحساب، فيتبع الهوية أينما تُصادق. المستخدم الذي يعمل في المكتب كل يوم ويأخذ حاسوبًا محمولًا إلى المنزل لا يواجهه إلا عندما يتغيّر اسم الجهاز، ولهذا قد يبدو الفشل كمشكلة VPN لأشهر قبل أن يدرك أحد النمط.

حقيقتان مرتبطتان لا تفسّرانه. يمكن لجهاز NAT أن يغيّر عنوان المصدر المرصود دون أن يمس سمة الحساب، ويمكن لتغيير لاحقة DNS أن يصلح اسمًا قصيرًا مع ترك قيد تسجيل الدخول في مكانه بالضبط. كلاهما يستحق الاستبعاد، ولا أي منهما بديل عن قراءة السمة.

اقرأ سجل فشل تسجيل الدخول أولًا

حدّد أية هوية صادق عليها خادم الملفات، وأي جهاز قدّمها. حساب نطاق، وحساب محلي باسم قصير مشابه، وحساب VPN منفصل ليست قابلة للتبادل، والخطأ لا معنى له إلا عندما تُعرف الهوية الدقيقة.

يسجّل سجل الأمان المحاولة مع الحساب واسم محطة العمل المتصلة، وهما الزوج الذي يُقيَّم القيد مقابله:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

الأمر الأول يُظهر الفشل وسلسلة محطة العمل التي تلقّاها الخادم، والثاني يُظهر القائمة المسموح بها على الحساب. قارن الاثنين بدلًا من افتراض أن اسم حاسوب العميل نفسه هو ما سجّله الخادم. الاسم الذي يبدو خاطئًا في السجل هو عادةً الاكتشاف المفيد، لأنه يسمّي الجهاز الذي يعتقد الخادم حقًا أنه يتحدث إليه. ذلك الاعتقاد هو ما يُفحص القيد مقابله.

لا تُضف اسم بوابة VPN لأن الحركة تمر عبرها. البوابة ليست المتصل المُصادق، وإضافتها إلى القائمة لا تغيّر شيئًا بينما تجعل مراجعة الحساب أصعب.

صحّح القيد بأصغر نطاق

إذا كان يجب السماح للجهاز، أضف ذلك الإدخال بالضبط إلى قائمة محطات العمل في الحساب واترك كل شيء آخر وشأنه. وإذا لم يكن كذلك، فالجواب الصحيح هو جهاز معتمد بدلًا من إزالة القيد، لأن القيد موجود لتحديد أين يمكن استخدام هذه البيانات.

التعديلات الجماعية شائعة هنا وخاطئة عادةً. الحساب الذي يحمل قائمة طويلة من الأجهزة المسموح بها هو حساب توقف قيده عن معنى أي شيء.

من المفيد أيضًا معرفة ما إذا كانت الهوية مشتركة. عندما يستخدم عدة أشخاص حساب خدمة واحدًا من عدة حواسيب محمولة، تنمو قائمة محطات العمل حتى تصبح السياسة بلا معنى، وهذه مشكلة تصميم لا مشكلة إدارية.

اقرأ النتيجة التالية، لا غيابها

بعد تغيير معتمد، قدّم طلبًا جديدًا بالحساب المقصود وسجّل ما يحدث. خطأ مختلف تقدّم، لأنه يسمّي المرحلة التالية بدلًا من تكرار السابقة.

يمكن لمسار DFS أن يجلب عدة خوادم وعدة قرارات وصول. مسح سمة حساب واحدة يحسم واحدًا منها. يجب أن تبقى أهداف الإحالة قابلة للوصول، ويجب أن تظل أذونات المشاركة ونظام الملفات على كل منها تسمح بالحساب. تعامل مع الخطأ التالي بالطريقة نفسها بدلًا من افتراض أن الإصلاح الأول غطّاها كلها.

لا سبب لإعادة بناء ملف تعريف VPN أو إعادة تعيين كلمة المرور بينما يبلّغ Windows عن قيد محطة عمل. قائمة أخطاء الشبكة من Microsoft تستحق أن تبقى مفتوحة لهذا السبب بالضبط: الرمز يخبرك بأي سمة تفحص قبل أن تلمس أي شيء.