SMB 2240 über VPN: die Anmeldearbeitsstationsliste prüfen

Beim Öffnen einer Freigabe über den Tunnel erscheint Fehler 2240, und der erste Instinkt ist, das Routing zu prüfen. Die Nummer ist spezifischer. Windows meldet, dass sich das Konto von dieser Arbeitsstation möglicherweise nicht anmelden darf, was eine Aussage über ein Konto ist und nicht über Erreichbarkeit.

Behalten Sie die Fehlernummer im Ticket. Sie verengt die Untersuchung auf ein Attribut und ein Ereignis.

Was 2240 tatsächlich benennt

Die Fehlerliste der Netzwerkverwaltung führt 2240 als NERR_InvalidWorkstation, ein Name, den man wörtlich lesen sollte. Das Konto ist auf eine Menge zulässiger Anmeldecomputer beschränkt, und der Rechner, der die Anmeldeinformationen vorlegt, gehört nicht dazu. Nichts in dieser Definition erwähnt den Tunnel, die Dateifreigabe oder das Kennwort. Das Attribut sitzt am Konto und wird bei jedem Anmeldeversuch ausgewertet.

Andere Nummern derselben Familie bedeuten etwas anderes. Eine Verletzung der zulässigen Anmeldezeiten ist ein anderer Code, ebenso ein falsches Kennwort. Sie alle als Zugriffsproblem zu melden, verschenkt die Präzision, die das Betriebssystem gerade geliefert hat.

Die Einschränkung lebt am Konto, also folgt sie der Identität, wo immer sie authentifiziert. Ein Benutzer, der täglich im Büro arbeitet und ein Notebook mit nach Hause nimmt, trifft sie nur dann, wenn sich der Rechnername ändert, weshalb der Fehler monatelang wie ein VPN-Problem aussehen kann, bis jemand das Muster erkennt.

Zwei verwandte Tatsachen erklären ihn nicht. Ein NAT-Gerät kann die beobachtete Quelladresse ändern, ohne das Kontoattribut zu berühren, und eine Änderung des DNS-Suffixes kann einen kurzen Namen reparieren, während die Anmeldebeschränkung genau dort bleibt, wo sie war. Beides sollte man ausschließen, und keines ersetzt das Lesen des Attributs.

Lesen Sie zuerst den Fehlanmeldungsdatensatz

Stellen Sie fest, welche Identität der Dateiserver authentifiziert hat und welcher Rechner sie vorgelegt hat. Ein Domänenkonto, ein lokales Konto mit ähnlichem Kurznamen und ein separates VPN-Konto sind nicht austauschbar, und der Fehler ergibt erst Sinn, wenn das genaue bekannt ist.

Das Sicherheitsprotokoll verzeichnet den Versuch mit dem Konto und dem Namen der aufrufenden Arbeitsstation, und gegen genau dieses Paar wird die Einschränkung geprüft:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Der erste Befehl zeigt den Fehler und die Arbeitsstationszeichenfolge, die der Server empfangen hat, der zweite zeigt die zulässige Liste am Konto. Vergleichen Sie beide, statt anzunehmen, der eigene Computername des Clients sei das, was der Server aufgezeichnet hat. Ein Name, der im Protokoll falsch aussieht, ist meist der nützliche Befund, weil er den Rechner benennt, mit dem der Server tatsächlich zu sprechen glaubt. Gegen diesen Glauben wird die Einschränkung geprüft.

Fügen Sie den Namen des VPN-Gateways nicht hinzu, nur weil der Datenverkehr es passiert. Das Gateway ist nicht der authentifizierte Aufrufer, und es der Liste hinzuzufügen ändert nichts, macht das Konto aber schwerer zu prüfen.

Korrigieren Sie die Einschränkung im kleinsten Umfang

Soll der Rechner zugelassen werden, tragen Sie genau diesen Eintrag in die Arbeitsstationsliste des Kontos ein und lassen alles andere unverändert. Soll er es nicht, ist die richtige Antwort ein genehmigter Rechner und nicht das Entfernen der Einschränkung, denn die Einschränkung existiert, um zu begrenzen, wo diese Anmeldeinformationen verwendet werden dürfen.

Massenbearbeitungen sind hier üblich und meist falsch. Ein Konto mit einer langen Liste zulässiger Rechner ist ein Konto, dessen Einschränkung nichts mehr bedeutet.

Hilfreich ist auch zu wissen, ob die Identität geteilt wird. Wenn mehrere Personen ein Dienstkonto von mehreren Notebooks aus nutzen, wächst die Arbeitsstationsliste, bis die Richtlinie bedeutungslos ist, was ein Designproblem und kein Verwaltungsproblem ist.

Lesen Sie das nächste Ergebnis, nicht dessen Ausbleiben

Stellen Sie nach einer genehmigten Änderung eine neue Anfrage mit dem vorgesehenen Konto und notieren Sie, was geschieht. Ein anderer Fehler ist Fortschritt, weil er die nächste Stufe benennt, statt die letzte zu wiederholen.

Ein DFS-Pfad kann mehrere Server und mehrere Zugriffsentscheidungen ins Spiel bringen. Ein gelöschtes Kontoattribut klärt eine davon. Die Verweisziele müssen weiterhin erreichbar sein, und die Freigabe- und Dateisystemberechtigungen auf jedem von ihnen müssen das Konto weiterhin zulassen. Arbeiten Sie den nächsten Fehler genauso ab, statt anzunehmen, die erste Korrektur habe alle abgedeckt.

Es gibt keinen Grund, das VPN-Profil neu aufzubauen oder das Kennwort zurückzusetzen, solange Windows eine Arbeitsstationsbeschränkung meldet. Die Liste der Netzwerkfehler von Microsoft sollte man genau deshalb geöffnet halten: Der Code sagt Ihnen, welches Attribut Sie prüfen müssen, bevor Sie etwas anfassen.