SMB 2240 preko VPN-a: provjerite listu radnih stanica za prijavu

Otvaranje dijeljenog resursa preko tunela vraća grešku 2240, a prvi instinkt je pogledati rutiranje. Broj je konkretniji od toga. Windows javlja da se račun možda ne može prijaviti s ove radne stanice, što je tvrdnja o politici jednog računa, a ne tvrdnja o dostupnosti.

Zadržite broj greške u ticketu. Sužava istragu na jedan atribut i jedan događaj.

Šta 2240 zapravo imenuje

Lista grešaka upravljanja mrežom identificira 2240 kao NERR_InvalidWorkstation, ime koje treba čitati doslovno. Račun je ograničen na skup dozvoljenih računara za prijavu, a mašina koja predstavlja vjerodajnice nije među njima. Ništa u toj definiciji ne spominje tunel, dijeljeni resurs ni lozinku. Atribut se nalazi na računu i procjenjuje se kada se pokuša prijava.

Drugi brojevi iz iste familije znače nešto drugo. Kršenje dozvoljenih sati prijave je drugi kod, kao i pogrešna lozinka. Prijavljivanje svih njih kao problema s pristupom troši preciznost koju je operativni sistem upravo dao.

Ograničenje živi na računu, pa slijedi identitet gdje god se on autentificira. Korisnik koji svaki dan radi u uredu i nosi laptop kući susreće ga samo kada se promijeni ime mašine, i zato kvar može mjesecima izgledati kao problem s VPN-om prije nego što neko prepozna obrazac.

Dvije povezane činjenice to ne objašnjavaju. NAT uređaj može promijeniti uočenu izvornu adresu bez diranja atributa računa, a promjena DNS sufiksa može popraviti kratko ime dok ograničenje prijave ostaje tačno tamo gdje je bilo. Obje vrijedi isključiti, i nijedna ne zamjenjuje čitanje atributa.

Prvo pročitajte zapis o neuspjeloj prijavi

Utvrdite koji je identitet datotečni server autentificirao i koja mašina ga je predstavila. Domenski račun, lokalni račun sa sličnim kratkim imenom i odvojeni VPN račun nisu zamjenjivi, a greška ima smisla tek kada je poznat tačan.

Sigurnosni zapis bilježi pokušaj s računom i imenom radne stanice koja poziva, a upravo se taj par provjerava prema ograničenju:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Prva naredba pokazuje kvar i niz radne stanice koji je server primio, a druga pokazuje dozvoljenu listu na računu. Uporedite ih umjesto da pretpostavite da je ime klijentskog računara ono što je server zabilježio. Ime koje u zapisu izgleda pogrešno obično je korisno otkriće, jer imenuje mašinu s kojom server zaista misli da razgovara. Upravo se prema tom uvjerenju provjerava ograničenje.

Ne dodajte ime VPN pristupnika zato što saobraćaj prolazi kroz njega. Pristupnik nije autentificirani pozivalac, a njegovo dodavanje na listu ništa ne mijenja dok račun čini težim za pregled.

Ispravite ograničenje u najmanjem obimu

Ako mašini treba dozvoliti, dodajte tačno taj unos na listu radnih stanica računa i ostavite sve ostalo kako jeste. Ako ne, ispravan odgovor je odobrena mašina, a ne uklanjanje ograničenja, jer ograničenje postoji da ograniči gdje se te vjerodajnice mogu koristiti.

Grupne izmjene su ovdje uobičajene i obično pogrešne. Račun s dugom listom dozvoljenih mašina je račun čije je ograničenje prestalo nešto značiti.

Pomaže i znati da li je identitet dijeljen. Kada više ljudi koristi jedan servisni račun s više laptopa, lista radnih stanica raste dok politika ne postane besmislena, što je problem dizajna, a ne administracije.

Čitajte sljedeći rezultat, ne njegovo odsustvo

Nakon odobrene promjene, uputite novi zahtjev s predviđenim računom i zabilježite šta se dogodi. Druga greška je napredak, jer imenuje sljedeću fazu umjesto da ponavlja prethodnu.

DFS put može unijeti nekoliko servera i nekoliko odluka o pristupu. Čišćenje jednog atributa računa rješava jednu od njih. Odredišta preusmjeravanja i dalje moraju biti dostupna, a dozvole za dijeljenje i datotečni sistem na svakom od njih i dalje moraju prihvatati račun. Prođite kroz sljedeću grešku na isti način umjesto da pretpostavite da je prva ispravka pokrila sve.

Nema razloga za ponovno pravljenje VPN profila ni za resetovanje lozinke dok Windows javlja ograničenje radne stanice. Microsoftova lista mrežnih grešaka vrijedi držati otvorenom upravo zbog ovoga: kod vam kaže koji atribut provjeriti prije nego što bilo šta dirnete.