SMB 2240 VPN üzərindən: giriş iş stansiyaları siyahısını yoxlayın

Tunel üzərindən paylaşmanı açmaq 2240 xətası qaytarır və ilk instinkt marşrutlaşdırmaya baxmaqdır. Rəqəm bundan daha dəqiqdir. Windows bildirir ki, hesab bu iş stansiyasından daxil ola bilməz, bu isə əlçatanlıq haqqında deyil, bir hesab haqqında siyasət bəyanatıdır.

Xəta nömrəsini biletdə saxlayın. O, araşdırmanı bir atribut və bir hadisə ilə məhdudlaşdırır.

2240 əslində nəyi adlandırır

Şəbəkə idarəetmə xətaları siyahısı 2240 kodunu NERR_InvalidWorkstation kimi tanıdır və bu adı hərfi oxumağa dəyər. Hesab icazə verilmiş giriş kompüterləri çoxluğu ilə məhdudlaşdırılıb və etimadnamələri təqdim edən maşın onların arasında deyil. Bu tərifdə tunel, fayl paylaşması və ya parol qeyd olunmur. Atribut hesabın üzərində oturur və giriş cəhdi zamanı qiymətləndirilir.

Eyni ailədən olan digər nömrələr başqa şey bildirir. İcazə verilmiş giriş saatlarının pozulması başqa koddur, yanlış parol da elə. Hamısını giriş problemi kimi bildirmək əməliyyat sisteminin indicə verdiyi dəqiqliyi itirir.

Məhdudiyyət hesabın üzərində yaşayır, ona görə kimlik harada autentifikasiya olsa, onunla gedir. Hər gün ofisdə işləyib noutbuku evə aparan istifadəçi bununla yalnız maşının adı dəyişəndə qarşılaşır; buna görə nasazlıq aylarla VPN problemi kimi görünə bilər, ta ki kimsə nümunəni tanıyana qədər.

İki əlaqəli fakt bunu izah etmir. NAT cihazı hesab atributuna toxunmadan müşahidə olunan mənbə ünvanını dəyişə bilər, DNS suffiksinin dəyişməsi isə qısa adı düzəldə bilər, giriş məhdudiyyətini isə tam yerində qoyur. Hər ikisini istisna etməyə dəyər və heç biri atributu oxumağın əvəzi deyil.

Əvvəlcə uğursuz giriş qeydini oxuyun

Fayl serverinin hansı kimliyi autentifikasiya etdiyini və hansı maşının onu təqdim etdiyini müəyyənləşdirin. Domen hesabı, oxşar qısa adlı yerli hesab və ayrı VPN hesabı bir-birini əvəz etmir və xəta yalnız dəqiq olanı bilinəndə məna kəsb edir.

Təhlükəsizlik jurnalı cəhdi hesabla və zəng edən iş stansiyasının adı ilə qeyd edir və məhdudiyyət məhz bu cütlüyə qarşı qiymətləndirilir:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Birinci əmr nasazlığı və serverin aldığı iş stansiyası sətrini göstərir, ikincisi hesabdakı icazəli siyahını göstərir. Müştərinin öz kompüter adının serverin qeyd etdiyi ad olduğunu fərz etmək əvəzinə ikisini müqayisə edin. Jurnalda yanlış görünən ad adətən faydalı tapıntıdır, çünki serverin həqiqətən danışdığını düşündüyü maşını adlandırır. Məhdudiyyət məhz bu inanca qarşı yoxlanılır.

VPN şlüzünün adını əlavə etməyin, çünki trafik ondan keçir. Şlüz autentifikasiya olunmuş zəng edən deyil və onu siyahıya əlavə etmək heç nəyi dəyişmir, hesabın yoxlanmasını isə çətinləşdirir.

Məhdudiyyəti ən kiçik əhatədə düzəldin

Maşına icazə verilməlidirsə, məhz həmin qeydi hesabın iş stansiyaları siyahısına əlavə edin və başqa hər şeyi olduğu kimi buraxın. Əks halda düzgün cavab məhdudiyyəti silmək deyil, təsdiqlənmiş maşındır, çünki məhdudiyyət bu etimadnamələrin harada istifadə oluna biləcəyini məhdudlaşdırmaq üçün mövcuddur.

Toplu düzəlişlər burada geniş yayılıb və adətən yanlışdır. İcazə verilmiş maşınların uzun siyahısı olan hesab, məhdudiyyəti artıq heç nə bildirməyən hesabdır.

Kimliyin paylaşılıb-paylaşılmadığını bilmək də faydalıdır. Bir neçə adam bir xidmət hesabını bir neçə noutbukdan istifadə etdikdə, iş stansiyaları siyahısı siyasət mənasızlaşana qədər böyüyür və bu, inzibati deyil, dizayn problemidir.

Növbəti nəticəni oxuyun, onun olmamasını deyil

Təsdiqlənmiş dəyişiklikdən sonra nəzərdə tutulan hesabla yeni sorğu göndərin və nə baş verdiyini qeyd edin. Fərqli xəta irəliləyişdir, çünki sonuncunu təkrarlamaq əvəzinə növbəti mərhələni adlandırır.

DFS yolu bir neçə server və bir neçə giriş qərarı gətirə bilər. Bir hesab atributunu təmizləmək onlardan birini həll edir. Yönləndirmə hədəfləri hələ də əlçatan olmalıdır və hər birindəki paylaşma və fayl sistemi icazələri hesabı hələ də qəbul etməlidir. Növbəti xətanı da eyni şəkildə işləyin, birinci düzəlişin hamısını əhatə etdiyini fərz etməyin.

Windows iş stansiyası məhdudiyyəti bildirərkən VPN profilini yenidən qurmağın və ya parolu sıfırlamağın heç bir səbəbi yoxdur. Microsoft-un şəbəkə xətaları siyahısı məhz bu səbəbdən açıq saxlanmağa dəyər: kod sizə heç nəyə toxunmazdan əvvəl hansı atributu yoxlamaq lazım olduğunu deyir.