SMB 2240 per VPN: reviseu la llista d'estacions de treball d'inici de sessió

Obrir un recurs compartit a través del túnel retorna l'error 2240, i el primer instint és mirar l'encaminament. El número és més específic que això. Windows informa que potser el compte no pot iniciar sessió des d'aquesta estació de treball, cosa que és una declaració de política sobre un compte i no una declaració sobre accessibilitat.

Conserveu el número d'error al tiquet. Redueix la investigació a un atribut i un esdeveniment.

Què designa realment 2240

La llista d'errors d'administració de xarxa identifica 2240 com a NERR_InvalidWorkstation, un nom que convé llegir literalment. El compte està restringit a un conjunt d'ordinadors d'inici de sessió permesos, i la màquina que presenta les credencials no hi és. Res en aquesta definició no esmenta el túnel, el recurs compartit ni la contrasenya. L'atribut resideix al compte i s'avalua quan s'intenta l'inici de sessió.

Altres números de la mateixa família signifiquen una altra cosa. Una infracció de les hores d'inici de sessió permeses és un codi diferent, i també ho és una contrasenya incorrecta. Informar de tots ells com un problema d'accés malbarata l'especificitat que el sistema operatiu acaba d'aportar.

La restricció viu al compte, així que segueix la identitat onsevulla que s'autentiqui. Un usuari que treballa a l'oficina cada dia i s'endú un portàtil a casa només la troba quan canvia el nom de la màquina, i per això la fallada pot semblar un problema de VPN durant mesos abans que algú reconegui el patró.

Dos fets relacionats no ho expliquen. Un dispositiu NAT pot canviar l'adreça d'origen observada sense tocar l'atribut del compte, i un canvi de sufix DNS pot corregir un nom curt mentre deixa la restricció d'inici de sessió exactament on era. Val la pena descartar tots dos, i cap no substitueix la lectura de l'atribut.

Llegiu primer el registre d'inici de sessió fallit

Determineu quina identitat ha autenticat el servidor de fitxers i quina màquina l'ha presentada. Un compte de domini, un compte local amb un nom curt similar i un compte de VPN separat no són intercanviables, i l'error només té sentit quan se sap l'exacte.

El registre de seguretat anota l'intent amb el compte i el nom de l'estació de treball que crida, i és justament aquesta parella la que s'avalua contra la restricció:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

La primera ordre mostra la fallada i la cadena d'estació de treball que ha rebut el servidor, i la segona mostra la llista permesa al compte. Compareu-les en lloc de suposar que el nom de l'ordinador del client és el que el servidor ha registrat. Un nom que sembla incorrecte al registre sol ser la troballa útil, perquè anomena la màquina amb la qual el servidor creu realment que parla. És aquesta creença la que comprova la restricció.

No afegiu el nom de la passarel·la VPN pel fet que el trànsit hi passi. La passarel·la no és el cridador autenticat, i afegir-la a la llista no canvia res mentre fa que el compte sigui més difícil de revisar.

Corregiu la restricció en l'àmbit més petit

Si la màquina s'ha de permetre, afegiu exactament aquesta entrada a la llista d'estacions de treball del compte i deixeu tota la resta com està. Si no, la resposta correcta és una màquina aprovada en lloc d'eliminar la restricció, perquè la restricció existeix per limitar on es poden fer servir aquestes credencials.

Les edicions massives són habituals aquí i solen ser errònies. Un compte amb una llista llarga de màquines permeses és un compte la restricció del qual ha deixat de significar res.

També ajuda saber si la identitat és compartida. Quan diverses persones fan servir un compte de servei des de diversos portàtils, la llista d'estacions de treball creix fins que la política perd el sentit, cosa que és un problema de disseny i no d'administració.

Llegiu el resultat següent, no la seva absència

Després d'un canvi aprovat, feu una sol·licitud nova amb el compte previst i anoteu què passa. Un error diferent és progrés, perquè anomena la fase següent en lloc de repetir l'anterior.

Un camí DFS pot introduir diversos servidors i diverses decisions d'accés. Aclarir un atribut de compte en resol una. Les destinacions de referència encara han de ser accessibles, i els permisos de recurs compartit i de sistema de fitxers a cadascuna encara han d'admetre el compte. Avanceu pel següent error de la mateixa manera en lloc de suposar que la primera correcció els va cobrir tots.

No hi ha cap raó per reconstruir el perfil de VPN ni per restablir la contrasenya mentre Windows informa d'una restricció d'estació de treball. La llista d'errors de xarxa de Microsoft val la pena tenir-la oberta justament per això: el codi us diu quin atribut cal inspeccionar abans de tocar res.