SMB 2240 dros VPN: gwirio'r rhestr o orsafoedd gwaith mewngofnodi

Mae agor rhaniad dros y twnnel yn dychwelyd gwall 2240, a'r reddf gyntaf yw edrych ar lwybrau. Mae'r rhif yn fwy penodol na hynny. Mae Windows yn dweud efallai na all y cyfrif fewngofnodi o'r orsaf waith hon, sy'n ddatganiad polisi am un cyfrif yn hytrach na datganiad am gyrhaeddiad.

Cadwch y rhif gwall yn y tocyn. Mae'n cyfyngu'r ymchwiliad i un priodoledd ac un digwyddiad.

Beth mae 2240 yn ei enwi mewn gwirionedd

Mae'r rhestr gwallau rheoli rhwydwaith yn nodi 2240 fel NERR_InvalidWorkstation, enw sy'n werth ei ddarllen yn llythrennol. Mae'r cyfrif wedi'i gyfyngu i set o gyfrifiaduron mewngofnodi a ganiateir, ac nid yw'r peiriant sy'n cyflwyno'r tystlythyrau ymhlith nhw. Nid oes dim yn y diffiniad hwnnw'n sôn am y twnnel, y rhaniad ffeiliau na'r cyfrinair. Mae'r briodoledd yn eistedd ar y cyfrif ac yn cael ei gwerthuso pan geisir mewngofnodi.

Mae rhifau eraill yn yr un teulu yn golygu rhywbeth arall. Mae torri'r oriau mewngofnodi a ganiateir yn god gwahanol, ac felly hefyd cyfrinair gwael. Mae adrodd arnyn nhw i gyd fel problem mynediad yn gwastraffu'r penodoldeb a roddodd y system weithredu gynnau.

Mae'r cyfyngiad yn byw ar y cyfrif, felly mae'n dilyn yr hunaniaeth ble bynnag y mae'n dilysu. Mae defnyddiwr sy'n gweithio yn y swyddfa bob dydd ac yn mynd â gliniadur adref yn dod ar ei draws dim ond pan fydd enw'r peiriant yn newid, a dyna pam y gall y methiant edrych fel problem VPN am fisoedd cyn i rywun adnabod y patrwm.

Nid yw dau ffaith gysylltiedig yn ei egluro. Gall dyfais NAT newid y cyfeiriad ffynhonnell a arsylwir heb gyffwrdd â phriodoledd y cyfrif, a gall newid ôl-ddodiad DNS drwsio enw byr gan adael y cyfyngiad mewngofnodi yn union lle'r oedd. Mae'r ddau yn werth eu diarddel, ac nid yw'r naill na'r llall yn cymryd lle darllen y briodoledd.

Darllenwch y cofnod mewngofnodi wedi methu yn gyntaf

Sefydlwch pa hunaniaeth y dilysodd y gweinydd ffeiliau, a pha beiriant a'i cyflwynodd. Nid yw cyfrif parth, cyfrif lleol ag enw byr tebyg, a chyfrif VPN ar wahân yn gyfnewidiol, ac nid yw'r gwall yn gwneud synnwyr nes bod yr union un yn hysbys.

Mae'r log diogelwch yn cofnodi'r ymgais gyda'r cyfrif ac enw'r orsaf waith sy'n galw, a dyna'r pâr y gwerthusir y cyfyngiad yn ei erbyn:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Mae'r gorchymyn cyntaf yn dangos y methiant a'r llinyn gorsaf waith a dderbyniodd y gweinydd, ac mae'r ail yn dangos y rhestr a ganiateir ar y cyfrif. Cymharwch y ddau yn hytrach na chymryd mai enw cyfrifiadur y cleient ei hun yw'r hyn a gofnododd y gweinydd. Enw sy'n edrych yn anghywir yn y log yw'r darganfyddiad defnyddiol fel arfer, oherwydd ei fod yn enwi'r peiriant y mae'r gweinydd yn credu mewn gwirionedd ei fod yn siarad ag ef. Y gred honno sy'n cael ei phrofi gan y cyfyngiad.

Peidiwch ag ychwanegu enw'r porth VPN am fod traffig yn pasio trwyddo. Nid y porth yw'r galwr dilysedig, ac nid yw ei ychwanegu at y rhestr yn newid dim tra'n gwneud y cyfrif yn anoddach ei adolygu.

Cywirwch y cyfyngiad ar y cwmpas lleiaf

Os dylid caniatáu'r peiriant, ychwanegwch yn union y cofnod hwnnw at restr gorsafoedd gwaith y cyfrif a gadewch bopeth arall yn llonydd. Os na, yr ateb cywir yw peiriant a gymeradwywyd yn hytrach na tynnu'r cyfyngiad, oherwydd bod y cyfyngiad yn bodoli i gyfyngu ble y gellir defnyddio'r tystlythyrau hynny.

Mae golygiadau swp yn gyffredin yma ac fel arfer yn anghywir. Cyfrif â rhestr hir o beiriannau a ganiateir yw cyfrif y mae ei gyfyngiad wedi peidio â golygu dim.

Mae'n helpu hefyd i wybod a yw'r hunaniaeth yn cael ei rhannu. Pan fydd sawl person yn defnyddio un cyfrif gwasanaeth o sawl gliniadur, mae'r rhestr orsafoedd gwaith yn tyfu nes bod y polisi'n ddibwrpas, sy'n broblem dylunio yn hytrach nag un weinyddol.

Darllenwch y canlyniad nesaf, nid ei absenoldeb

Ar ôl newid a gymeradwywyd, gwnewch gais newydd gyda'r cyfrif a fwriadwyd a chofnodwch beth sy'n digwydd. Mae gwall gwahanol yn gynnydd, oherwydd ei fod yn enwi'r cam nesaf yn hytrach na hailadrodd yr un diwethaf.

Gall llwybr DFS gyflwyno sawl gweinydd a sawl penderfyniad mynediad. Mae clirio un briodoledd cyfrif yn datrys un ohonynt. Mae'n rhaid i'r targedau atgyfeirio fod yn gyrhaeddadwy o hyd, ac mae'n rhaid i'r caniatâd rhannu a ffeilsystem ar bob un ohonynt barhau i dderbyn y cyfrif. Ewch drwy'r gwall nesaf yn yr un ffordd yn hytrach na chymryd bod y cywiriad cyntaf wedi eu cwmpasu i gyd.

Nid oes rheswm i ailadeiladu'r proffil VPN nac i ailosod y cyfrinair tra bod Windows yn adrodd am gyfyngiad gors af waith. Mae'r rhestr gwallau rhwydwaith gan Microsoft yn werth ei chadw ar agor yn union am y rheswm hwn: mae'r cod yn dweud wrthych pa briodoledd i'w harchwilio cyn i chi gyffwrdd â dim.