SMB 2240 през VPN: проверете списъка с работни станции за вход

Отварянето на споделена папка през тунела връща грешка 2240 и първият инстинкт е да се погледне маршрутизацията. Числото е по-конкретно от това. Windows съобщава, че профилът може да не може да влезе от тази работна станция, което е политическо твърдение за един профил, а не твърдение за достъпност.

Пазете номера на грешката в заявката. Той стеснява разследването до един атрибут и едно събитие.

Какво всъщност означава 2240

Списъкът с мрежови грешки за управление определя 2240 като NERR_InvalidWorkstation и това име заслужава буквално четене. Профилът е ограничен до набор от разрешени компютри за вход и машината, която представя идентификационните данни, не е сред тях. Нищо в тази дефиниция не споменава тунела, споделената папка или паролата. Атрибутът се намира в профила и се оценява при опит за вход.

Други числа от същото семейство означават друго. Нарушаването на разрешените часове за вход е различен код, както и грешната парола. Отчитането на всички тях като проблем с достъпа прахосва конкретността, която операционната система току-що предостави.

Ограничението живее в профила, затова следва самоличността навсякъде, където тя се удостоверява. Потребител, който работи в офиса всеки ден и взима лаптоп вкъщи, се сблъсква с него само когато името на машината се промени, и точно затова отказът може да изглежда като проблем с VPN с месеци, преди някой да разпознае модела.

Два свързани факта не го обясняват. Устройство NAT може да промени наблюдавания адрес на източника, без да пипа атрибута на профила, а промяна на DNS суфикса може да поправи кратко име, като остави ограничението за вход точно там, където е било. И двете си струва да се изключат и нито едно не замества четенето на атрибута.

Първо прочетете записа за неуспешен вход

Установете коя самоличност е удостоверил файловият сървър и коя машина я е представила. Домейн профил, локален профил с подобно кратко име и отделен VPN профил не са взаимозаменяеми и грешката има смисъл само когато точният е известен.

Журналът за сигурност записва опита с профила и името на извикващата работна станция, а точно тази двойка се сравнява с ограничението:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Първата команда показва отказа и низа с работна станция, който сървърът е получил, а втората показва разрешения списък в профила. Сравнете двете, вместо да предполагате, че собственото име на компютъра на клиента е това, което сървърът е записал. Име, което изглежда грешно в журнала, обикновено е полезната находка, защото назовава машината, с която сървърът наистина смята, че говори. Именно срещу това убеждение се проверява ограничението.

Не добавяйте името на VPN шлюза, защото трафикът минава през него. Шлюзът не е удостовереният извикващ и добавянето му към списъка не променя нищо, но прави профила по-труден за преглед.

Поправете ограничението в най-малкия обхват

Ако машината трябва да бъде разрешена, добавете точно този запис в списъка с работни станции на профила и оставете всичко останало. Ако не, правилният отговор е одобрена машина, а не премахване на ограничението, защото ограничението съществува, за да ограничи къде могат да се използват тези идентификационни данни.

Груповите редакции са обичайни тук и обикновено грешни. Профил с дълъг списък от разрешени машини е профил, чието ограничение е престанало да означава нещо.

Полезно е да се знае и дали самоличността е споделена. Когато няколко души използват един служебен профил от няколко лаптопа, списъкът с работни станции расте, докато политиката загуби смисъл, което е проблем на дизайна, а не на администрирането.

Четете следващия резултат, а не липсата му

След одобрена промяна направете нова заявка с предвидения профил и запишете какво се случва. Различна грешка е напредък, защото назовава следващия етап, вместо да повтаря предишния.

Път DFS може да въведе няколко сървъра и няколко решения за достъп. Изчистването на един атрибут на профила решава едно от тях. Целите на препращането все още трябва да са достъпни и разрешенията за споделяне и файлова система на всяка от тях все още трябва да допускат профила. Преминете през следващата грешка по същия начин, вместо да предполагате, че първата поправка е покрила всички.

Няма причина да се преизгражда VPN профилът или да се нулира паролата, докато Windows съобщава за ограничение на работна станция. Списъкът с мрежови грешки на Microsoft си струва да остане отворен точно по тази причина: кодът ви казва кой атрибут да проверите, преди да пипнете нещо.