SMB 2240 праз VPN: праверце спіс працоўных станцый для ўваходу

Памылка 2240 азначае, што ўліковы запіс можа не змагчы ўвайсці з гэтай працоўнай станцыі. Прачытайце запіс няўдалага ўваходу і выпраўце ўліковы запіс, а не DNS ці тунель.

Адкрыццё агульнага рэсурсу праз тунель вяртае памылку 2240, і першая думка — паглядзець на маршрутызацыю. Лік больш канкрэтны. Windows паведамляе, што ўліковы запіс можа не ўвайсці з гэтай працоўнай станцыі, а гэта палітычнае сцвярджэнне пра адзін уліковы запіс, а не пра дасяжнасць.

Трымайце нумар памылкі ў заяўцы. Ён звужвае расследаванне да аднаго атрыбута і адной падзеі.

Што насамрэч азначае 2240

Спіс памылак кіравання сеткай вызначае 2240 як NERR_InvalidWorkstation, і гэта імя варта чытаць літаральна. Уліковы запіс абмежаваны наборам дазволеных камп'ютараў для ўваходу, і машына, якая прад'яўляе ўліковыя даныя, не ўваходзіць у яго. Нішто ў гэтым азначэнні не згадвае тунель, агульны рэсурс ці пароль. Атрыбут знаходзіцца на ўліковым запісе і ацэньваецца пры спробе ўваходу.

Іншыя нумары з той жа сям'і значаць іншае. Парушэнне дазволеных гадзін уваходу — іншы код, як і няправільны пароль. Паведамляць пра ўсе іх як пра праблему доступу — марнаваць тую дакладнасць, якую толькі што дала аперацыйная сістэма.

Абмежаванне жыве на ўліковым запісе, таму яно ідзе за ідэнтычнасцю ўсюды, дзе яна аўтэнтыфікуецца. Карыстальнік, які штодня працуе ў офісе і бярэ ноўтбук дадому, сутыкаецца з ім толькі тады, калі змяняецца імя машыны, і менавіта таму збой можа месяцы выглядаць як праблема VPN, пакуль хтосьці не ўбачыць заканамернасць.

Два звязаныя факты гэтага не тлумачаць. Прылада NAT можа змяніць назіраны адрас крыніцы, не кранаючы атрыбут уліковага запісу, а змена суфікса DNS можа выправіць кароткае імя, пакінуўшы абмежаванне ўваходу дакладна на месцы. Абодва варта выключыць, і ні адзін не замяняе чытання атрыбута.

Спачатку прачытайце запіс няўдалага ўваходу

Усталюйце, якую ідэнтычнасць аўтэнтыфікаваў файлавы сервер і якая машына яе прад'явіла. Дамэнны ўліковы запіс, лакальны ўліковы запіс з падобным кароткім імем і асобны ўліковы запіс VPN не ўзаемазаменныя, і памылка мае сэнс толькі тады, калі вядомы дакладны.

Журнал бяспекі запісвае спробу з уліковым запісам і імем працоўнай станцыі, якая выклікае, і менавіта з гэтай парай параўноўваецца абмежаванне:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Першая каманда паказвае збой і радок працоўнай станцыі, які атрымаў сервер, а другая паказвае дазволены спіс ва ўліковым запісе. Параўнайце іх, а не зыходзьце з таго, што імя камп'ютара кліента — гэта тое, што запісаў сервер. Імя, якое выглядае няправільным у журнале, звычайна і ёсць карысная знаходка, бо яно называе машыну, з якой сервер сапраўды лічыць, што размаўляе. Менавіта супраць гэтага пераканання правяраецца абмежаванне.

Не дадавайце імя VPN-шлюза, таму што трафік праходзіць праз яго. Шлюз не з'яўляецца аўтэнтыфікаваным выклікаючым, і даданне яго ў спіс нічога не змяняе, робячы ўліковы запіс цяжэйшым для праверкі.

Выпраўце абмежаванне ў самым малым аб'ёме

Калі машыне трэба дазволіць, дадайце менавіта гэты запіс у спіс працоўных станцый уліковага запісу і пакіньце ўсё астатняе як ёсць. Калі не, правільны адказ — ухваленая машына, а не зняцце абмежавання, бо абмежаванне існуе, каб абмежаваць, дзе гэтыя ўліковыя даныя можна выкарыстоўваць.

Масавыя праўкі тут звычайныя і звычайна няправільныя. Уліковы запіс з доўгім спісам дазволеных машын — гэта ўліковы запіс, абмежаванне якога перастала нешта значыць.

Карысна таксама ведаць, ці агульная ідэнтычнасць. Калі некалькі чалавек карыстаюцца адным сэрвісным уліковым запісам з некалькіх ноўтбукаў, спіс працоўных станцый расце, пакуль палітыка не страціць сэнс, а гэта праблема дызайну, а не адміністравання.

Чытайце наступны вынік, а не яго адсутнасць

Пасля ўхваленай змены зрабіце новы запыт з мэтавым уліковым запісам і запішыце, што адбываецца. Іншая памылка — гэта прагрэс, бо яна называе наступны этап, а не паўтарае папярэдні.

Шлях DFS можа ўвесці некалькі сервераў і некалькі рашэнняў аб доступе. Ачыстка аднаго атрыбута ўліковага запісу вырашае адно з іх. Мэты перанакіравання па-ранейшаму павінны быць дасяжнымі, і дазволы на агульны рэсурс і файлавую сістэму на кожнай з іх па-ранейшаму павінны дапускаць уліковы запіс. Праходзьце наступную памылку гэтак жа, а не зыходзьце з таго, што першае выпраўленне пакрыла ўсе.

Няма прычыны перабудоўваць профіль VPN або скідваць пароль, пакуль Windows паведамляе пра абмежаванне працоўнай станцыі. Спіс сеткавых памылак ад Microsoft варта трымаць адкрытым менавіта з гэтай прычыны: код кажа, які атрыбут праверыць, перш чым нешта чапаць.

Падобныя артыкулы