SMB 2240 over VPN: tjek listen over tilladte arbejdsstationer

Når en deling åbnes gennem tunnelen, returneres fejl 2240, og den første refleks er at se på routing. Tallet er mere specifikt end det. Windows rapporterer, at kontoen muligvis ikke kan logge på fra denne arbejdsstation, hvilket er en politik-erklæring om én konto og ikke en erklæring om nåbarhed.

Behold fejlnummeret i billetten. Det indsnævrer undersøgelsen til ét attribut og én hændelse.

Hvad 2240 egentlig navngiver

Fejllisten for netværksadministration angiver 2240 som NERR_InvalidWorkstation, et navn der er værd at læse bogstaveligt. Kontoen er begrænset til et sæt tilladte logon-computere, og den maskine, der præsenterer legitimationsoplysningerne, er ikke blandt dem. Intet i den definition nævner tunnelen, fildelingen eller adgangskoden. Attributten sidder på kontoen og vurderes, når logon forsøges.

Andre numre i samme familie betyder noget andet. Overtrædelse af tilladte logon-tider er en anden kode, og det samme er en forkert adgangskode. At rapportere dem alle som et adgangsproblem spilder den specificitet, som operativsystemet netop gav.

Begrænsningen bor på kontoen, så den følger identiteten, hvor den end autentificerer. En bruger, der arbejder på kontoret hver dag og tager en bærbar med hjem, møder den kun, når maskinnavnet ændres, og derfor kan fejlen i månedsvis se ud som et VPN-problem, før nogen genkender mønsteret.

To beslægtede fakta forklarer det ikke. En NAT-enhed kan ændre den observerede kildeaddresse uden at røre kontoattributten, og en ændring af DNS-suffikset kan rette et kort navn, mens logonbegrænsningen bliver nøjagtigt, hvor den var. Begge er værd at udelukke, og ingen af dem erstatter at læse attributten.

Læs posten om mislykket logon først

Fastslå, hvilken identitet fileserveren autentificerede, og hvilken maskine der præsenterede den. En domænekonto, en lokal konto med et lignende kort navn og en separat VPN-konto kan ikke bruges i flæng, og fejlen giver kun mening, når den præcise er kendt.

Sikkerhedsloggen registrerer forsøget med kontoen og navnet på den kaldende arbejdsstation, og det er det par, begrænsningen vurderes imod:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Den første kommando viser fejlen og den arbejdsstationsstreng, serveren modtog, og den anden viser den tilladte liste på kontoen. Sammenlign de to i stedet for at antage, at klientens eget computernavn er det, serveren registrerede. Et navn, der ser forkert ud i loggen, er normalt det nyttige fund, fordi det navngiver den maskine, serveren faktisk tror, den taler med. Det er den tro, begrænsningen kontrolleres imod.

Tilføj ikke VPN-gatewayens navn, fordi trafikken går gennem den. Gatewayen er ikke den autentificerede kalder, og at tilføje den til listen ændrer intet, mens det gør kontoen sværere at gennemgå.

Ret begrænsningen i det mindste omfang

Hvis maskinen skal tillades, skal du tilføje netop den post til kontoens arbejdsstationsliste og lade alt andet være. Hvis ikke, er det korrekte svar en godkendt maskine i stedet for at fjerne begrænsningen, fordi begrænsningen findes for at begrænse, hvor disse legitimationsoplysninger kan bruges.

Masseændringer er almindelige her og normalt forkerte. En konto med en lang liste af tilladte maskiner er en konto, hvis begrænsning er holdt op med at betyde noget.

Det hjælper også at vide, om identiteten deles. Når flere personer bruger én servicekonto fra flere bærbare computere, vokser arbejdsstationslisten, indtil politikken er meningsløs, hvilket er et designproblem snarere end et administrativt.

Læs det næste resultat, ikke fraværet af det

Efter en godkendt ændring skal du sende en ny anmodning med den tilsigtede konto og registrere, hvad der sker. En anden fejl er fremskridt, fordi den navngiver næste trin i stedet for at gentage det sidste.

En DFS-sti kan introducere flere servere og flere adgangsbeslutninger. At rydde én kontoattribut afgør en af dem. Referral-målene skal stadig være nåbare, og dele- og filsystemtilladelserne på hver af dem skal stadig tillade kontoen. Arbejd dig gennem den næste fejl på samme måde i stedet for at antage, at den første rettelse dækkede dem alle.

Der er ingen grund til at genopbygge VPN-profilen eller nulstille adgangskoden, mens Windows rapporterer en arbejdsstationsbegrænsning. Microsofts liste over netværksfejl er værd at holde åben netop af denne grund: koden fortæller dig, hvilken attribut du skal undersøge, før du rører noget.