SMB 2240 ভিপিএন-এর মাধ্যমে: লগঅন ওয়ার্কস্টেশনের তালিকা যাচাই করুন

টানেলের ওপার থেকে একটি শেয়ার খুললে ত্রুটি 2240 আসে, আর প্রথম প্রবৃত্তি হলো রাউটিংয়ের দিকে তাকানো। সংখ্যাটি তার চেয়ে বেশি নির্দিষ্ট। উইন্ডোজ জানাচ্ছে যে অ্যাকাউন্টটি এই ওয়ার্কস্টেশন থেকে লগঅন করতে নাও পারে, যা নাগাল সম্পর্কে নয়, একটি অ্যাকাউন্ট সম্পর্কে নীতি-বিবৃতি।

ত্রুটির নম্বরটি টিকিটে রাখুন। এটি তদন্তকে একটি অ্যাট্রিবিউট ও একটি ইভেন্টে সীমাবদ্ধ করে।

2240 আসলে কী বোঝায়

নেটওয়ার্ক ব্যবস্থাপনা ত্রুটির তালিকা 2240-কে NERR_InvalidWorkstation হিসেবে চিহ্নিত করে, এই নামটি আক্ষরিকভাবে পড়া উচিত। অ্যাকাউন্টটি অনুমোদিত লগঅন কম্পিউটারের একটি সেটে সীমাবদ্ধ, আর যে মেশিনটি শংসাপত্র উপস্থাপন করছে সেটি তাদের মধ্যে নেই। ওই সংজ্ঞায় টানেল, ফাইল শেয়ার বা পাসওয়ার্ডের কোনো উল্লেখ নেই। অ্যাট্রিবিউটটি অ্যাকাউন্টের ওপর থাকে এবং লগঅন করার চেষ্টার সময় মূল্যায়ন করা হয়।

একই পরিবারের অন্য সংখ্যাগুলো অন্য কিছু বোঝায়। অনুমোদিত লগঅন সময়ের লঙ্ঘন ভিন্ন কোড, ভুল পাসওয়ার্ডও তাই। সবগুলোকে অ্যাক্সেস সমস্যা হিসেবে রিপোর্ট করলে অপারেটিং সিস্টেম এইমাত্র যে নির্দিষ্টতা দিল তা নষ্ট হয়।

নিষেধাজ্ঞাটি অ্যাকাউন্টের ওপর বাস করে, তাই পরিচয় যেখানেই প্রমাণিত হোক তা এর সঙ্গে যায়। যে ব্যবহারকারী প্রতিদিন অফিসে কাজ করেন এবং ল্যাপটপ বাড়ি নিয়ে যান, তিনি এটি কেবল তখনই দেখেন যখন মেশিনের নাম বদলায়, আর সে কারণেই ব্যর্থতাটি মাসের পর মাস ভিপিএন সমস্যার মতো দেখাতে পারে, যতক্ষণ না কেউ প্যাটার্নটি চিনতে পারেন।

দুটি সংশ্লিষ্ট তথ্য এটি ব্যাখ্যা করে না। একটি NAT ডিভাইস অ্যাকাউন্টের অ্যাট্রিবিউট স্পর্শ না করেই পর্যবেক্ষিত সোর্স ঠিকানা বদলাতে পারে, আর DNS সাফিক্স পরিবর্তন একটি ছোট নাম ঠিক করতে পারে অথচ লগঅন নিষেধাজ্ঞা ঠিক যেখানে ছিল সেখানেই রেখে দেয়। দুটোই বাদ দেওয়ার মতো, এবং কোনোটিই অ্যাট্রিবিউট পড়ার বিকল্প নয়।

আগে ব্যর্থ লগঅনের রেকর্ড পড়ুন

ফাইল সার্ভার কোন পরিচয় প্রমাণ করেছে এবং কোন মেশিন তা উপস্থাপন করেছে তা নির্ধারণ করুন। একটি ডোমেইন অ্যাকাউন্ট, একই রকম ছোট নামের একটি লোকাল অ্যাকাউন্ট এবং একটি আলাদা ভিপিএন অ্যাকাউন্ট পরস্পর বিনিময়যোগ্য নয়, আর সঠিকটি জানা না গেলে ত্রুটিটির কোনো অর্থ হয় না।

নিরাপত্তা লগ অ্যাকাউন্ট ও কলিং ওয়ার্কস্টেশনের নামসহ চেষ্টাটি নথিভুক্ত করে, আর নিষেধাজ্ঞা মূল্যায়ন করা হয় ঠিক এই জোড়ার বিপরীতে:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

প্রথম কমান্ড ব্যর্থতা ও সার্ভার যে ওয়ার্কস্টেশন স্ট্রিং পেয়েছে তা দেখায়, দ্বিতীয়টি অ্যাকাউন্টের অনুমোদিত তালিকা দেখায়। ক্লায়েন্টের নিজের কম্পিউটারের নামই সার্ভার নথিভুক্ত করেছে ধরে নেওয়ার বদলে দুটো মিলিয়ে দেখুন। লগে ভুল দেখানো কোনো নাম সাধারণত কাজের ফল, কারণ এটি সেই মেশিনের নাম বলে যার সঙ্গে সার্ভার সত্যিই কথা বলছে মনে করে। নিষেধাজ্ঞা পরীক্ষা করা হয় ঠিক সেই বিশ্বাসের বিপরীতে।

ভিপিএন গেটওয়ের নাম যোগ করবেন না, কারণ ট্রাফিক তার মধ্য দিয়ে যায়। গেটওয়ে প্রমাণিত কলার নয়, আর তালিকায় এটি যোগ করলে কিছুই বদলায় না বরং অ্যাকাউন্ট পর্যালোচনা কঠিন হয়।

সবচেয়ে ছোট পরিসরে নিষেধাজ্ঞা ঠিক করুন

মেশিনটির অনুমতি থাকা উচিত হলে ঠিক সেই এন্ট্রিটি অ্যাকাউন্টের ওয়ার্কস্টেশন তালিকায় যোগ করুন এবং বাকি সব অপরিবর্তিত রাখুন। না হলে সঠিক উত্তর হলো একটি অনুমোদিত মেশিন, নিষেধাজ্ঞা সরিয়ে দেওয়া নয়, কারণ নিষেধাজ্ঞাটি থাকে এই শংসাপত্রগুলো কোথায় ব্যবহার করা যাবে তা সীমিত করতে।

বাল্ক সম্পাদনা এখানে সাধারণ এবং সাধারণত ভুল। দীর্ঘ অনুমোদিত মেশিনের তালিকাসহ অ্যাকাউন্ট হলো এমন অ্যাকাউন্ট যার নিষেধাজ্ঞা আর কিছুই বোঝায় না।

পরিচয়টি ভাগ করা কি না তা জানাও সহায়ক। যখন কয়েকজন মানুষ কয়েকটি ল্যাপটপ থেকে একটি সার্ভিস অ্যাকাউন্ট ব্যবহার করেন, ওয়ার্কস্টেশন তালিকা বাড়তে থাকে যতক্ষণ না নীতি অর্থহীন হয়ে পড়ে, যা প্রশাসনিক নয়, নকশার সমস্যা।

পরের ফলাফল পড়ুন, তার অনুপস্থিতি নয়

অনুমোদিত পরিবর্তনের পরে উদ্দিষ্ট অ্যাকাউন্ট দিয়ে নতুন অনুরোধ করুন এবং কী ঘটে তা লিখে রাখুন। ভিন্ন ত্রুটি হলো অগ্রগতি, কারণ এটি আগেরটি পুনরাবৃত্তি না করে পরের ধাপটির নাম বলে।

একটি DFS পথ কয়েকটি সার্ভার ও কয়েকটি অ্যাক্সেস সিদ্ধান্ত আনতে পারে। একটি অ্যাকাউন্ট অ্যাট্রিবিউট পরিষ্কার করলে তাদের একটির সমাধান হয়। রেফারেল লক্ষ্যগুলোকে এখনও নাগালে থাকতে হবে, এবং প্রতিটির শেয়ার ও ফাইলসিস্টেম অনুমতিকে এখনও অ্যাকাউন্টটি মেনে নিতে হবে। পরের ত্রুটিটিও একইভাবে মোকাবিলা করুন, প্রথম সংশোধন সবগুলো ঢেকে দিয়েছে ধরে নেবেন না।

উইন্ডোজ ওয়ার্কস্টেশন নিষেধাজ্ঞার কথা জানানোর সময় ভিপিএন প্রোফাইল পুনর্নির্মাণ বা পাসওয়ার্ড রিসেট করার কোনো কারণ নেই। মাইক্রোসফটের নেটওয়ার্ক ত্রুটির তালিকা ঠিক এই কারণেই খোলা রাখা উচিত: কোডটি বলে দেয় কোনো কিছু স্পর্শ করার আগে কোন অ্যাট্রিবিউট দেখতে হবে।