SMB 2240 přes VPN: zkontrolujte seznam pracovních stanic pro přihlášení

Otevření sdílené složky přes tunel vrací chybu 2240 a první instinkt je podívat se na směrování. Číslo je konkrétnější. Windows hlásí, že se účet možná nemůže přihlásit z této pracovní stanice, což je tvrzení o politice jednoho účtu, nikoli tvrzení o dostupnosti.

Uchovejte číslo chyby v tiketu. Zužuje vyšetřování na jeden atribut a jednu událost.

Co 2240 vlastně označuje

Seznam chyb správy sítě označuje 2240 jako NERR_InvalidWorkstation, což je jméno, které je třeba číst doslova. Účet je omezen na sadu povolených přihlašovacích počítačů a stroj, který předkládá přihlašovací údaje, mezi nimi není. Nic v této definici nezmiňuje tunel, sdílenou složku ani heslo. Atribut sedí na účtu a vyhodnocuje se při pokusu o přihlášení.

Jiná čísla ze stejné rodiny znamenají něco jiného. Porušení povolených přihlašovacích hodin je jiný kód, stejně jako špatné heslo. Hlásit je všechny jako problém s přístupem plýtvá konkrétností, kterou operační systém právě poskytl.

Omezení žije na účtu, takže následuje identitu všude, kde se ověřuje. Uživatel, který každý den pracuje v kanceláři a bere si notebook domů, na něj narazí jen tehdy, když se změní název stroje, a proto může selhání měsíce vypadat jako problém s VPN, než někdo ten vzorec rozpozná.

Dvě související skutečnosti to nevysvětlují. Zařízení NAT může změnit pozorovanou zdrojovou adresu, aniž by se dotklo atributu účtu, a změna suffixu DNS může opravit krátké jméno, přičemž omezení přihlášení zůstane přesně tam, kde bylo. Obojí stojí za vyloučení a ani jedno nenahrazuje čtení atributu.

Nejprve si přečtěte záznam o neúspěšném přihlášení

Zjistěte, jakou identitu souborový server ověřil a který stroj ji předložil. Účet domény, místní účet s podobným krátkým jménem a samostatný účet VPN nejsou zaměnitelné a chyba dává smysl jen tehdy, když je znám ten přesný.

Protokol zabezpečení zaznamenává pokus s účtem a názvem volající pracovní stanice a právě proti této dvojici se omezení vyhodnocuje:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

První příkaz ukazuje selhání a řetězec pracovní stanice, který server obdržel, druhý ukazuje povolený seznam na účtu. Porovnejte je, místo abyste předpokládali, že název počítače klienta je to, co server zaznamenal. Jméno, které v protokolu vypadá špatně, je obvykle užitečné zjištění, protože pojmenovává stroj, o kterém si server skutečně myslí, že s ním mluví. Právě proti tomu přesvědčení se omezení kontroluje.

Nepřidávejte název brány VPN jen proto, že přes ni prochází provoz. Brána není ověřený volající a její přidání do seznamu nic nezmění, jen ztíží revizi účtu.

Opravte omezení v nejmenším rozsahu

Pokud má být stroj povolen, přidejte přesně tuto položku do seznamu pracovních stanic účtu a všechno ostatní nechte být. Pokud ne, správnou odpovědí je schválený stroj, ne odstranění omezení, protože omezení existuje proto, aby omezovalo, kde lze tyto přihlašovací údaje použít.

Hromadné úpravy jsou tu běžné a obvykle špatné. Účet s dlouhým seznamem povolených strojů je účet, jehož omezení přestalo něco znamenat.

Pomáhá také vědět, zda je identita sdílená. Když několik lidí používá jeden servisní účet z několika notebooků, seznam pracovních stanic roste, dokud politika neztratí smysl, což je problém návrhu, nikoli správy.

Čtěte další výsledek, ne jeho nepřítomnost

Po schválené změně odešlete nový požadavek zamýšleným účtem a zaznamenejte, co se stane. Jiná chyba je pokrok, protože pojmenovává další fázi, místo aby opakovala tu předchozí.

Cesta DFS může přinést několik serverů a několik rozhodnutí o přístupu. Vyčištění jednoho atributu účtu vyřeší jedno z nich. Cíle přesměrování musí být stále dostupné a oprávnění ke sdílení a systému souborů na každém z nich musí účet stále připouštět. Projděte další chybu stejným způsobem, místo abyste předpokládali, že první oprava pokryla všechny.

Není důvod přestavovat profil VPN nebo resetovat heslo, když Windows hlásí omezení pracovní stanice. Microsoftův seznam síťových chyb stojí za to mít otevřený právě z tohoto důvodu: kód vám řekne, který atribut prozkoumat, než se něčeho dotknete.