SMB 2240 μέσω VPN: ελέγξτε τη λίστα σταθμών εργασίας σύνδεσης

Το άνοιγμα ενός κοινόχρηστου φακέλου μέσω της σήραγγας επιστρέφει σφάλμα 2240, και το πρώτο ένστικτο είναι να κοιτάξει κανείς τη δρομολόγηση. Ο αριθμός είναι πιο συγκεκριμένος από αυτό. Τα Windows αναφέρουν ότι ο λογαριασμός μπορεί να μην επιτρέπεται να συνδεθεί από αυτόν τον σταθμό εργασίας, που είναι δήλωση πολιτικής για έναν λογαριασμό και όχι δήλωση για τη δυνατότητα πρόσβασης.

Κρατήστε τον αριθμό σφάλματος στο δελτίο. Περιορίζει την έρευνα σε ένα χαρακτηριστικό και ένα συμβάν.

Τι ονομάζει στην πραγματικότητα το 2240

Η λίστα σφαλμάτων διαχείρισης δικτύου προσδιορίζει το 2240 ως NERR_InvalidWorkstation, ένα όνομα που αξίζει κυριολεκτική ανάγνωση. Ο λογαριασμός περιορίζεται σε ένα σύνολο επιτρεπόμενων υπολογιστών σύνδεσης και το μηχάνημα που παρουσιάζει τα διαπιστευτήρια δεν περιλαμβάνεται σε αυτά. Τίποτα σε αυτόν τον ορισμό δεν αναφέρει τη σήραγγα, τον κοινόχρηστο φάκελο ή τον κωδικό. Το χαρακτηριστικό βρίσκεται στον λογαριασμό και αξιολογείται όταν επιχειρείται η σύνδεση.

Άλλοι αριθμοί στην ίδια οικογένεια σημαίνουν κάτι άλλο. Η παραβίαση των επιτρεπόμενων ωρών σύνδεσης είναι διαφορετικός κωδικός, όπως και ένας λανθασμένος κωδικός πρόσβασης. Η αναφορά όλων ως πρόβλημα πρόσβασης σπαταλά την ειδικότητα που μόλις έδωσε το λειτουργικό σύστημα.

Ο περιορισμός ζει στον λογαριασμό, οπότε ακολουθεί την ταυτότητα όπου κι αν αυτή πιστοποιείται. Ένας χρήστης που εργάζεται στο γραφείο κάθε μέρα και παίρνει φορητό υπολογιστή στο σπίτι τον συναντά μόνο όταν αλλάζει το όνομα του μηχανήματος, και γι' αυτό η αποτυχία μπορεί να μοιάζει με πρόβλημα VPN για μήνες πριν κάποιος αναγνωρίσει το μοτίβο.

Δύο σχετικά γεγονότα δεν το εξηγούν. Μια συσκευή NAT μπορεί να αλλάξει τη διεύθυνση προέλευσης που παρατηρείται χωρίς να αγγίξει το χαρακτηριστικό του λογαριασμού, και μια αλλαγή επιθέματος DNS μπορεί να διορθώσει ένα σύντομο όνομα αφήνοντας τον περιορισμό σύνδεσης ακριβώς εκεί που ήταν. Και τα δύο αξίζει να αποκλειστούν, και κανένα δεν υποκαθιστά την ανάγνωση του χαρακτηριστικού.

Διαβάστε πρώτα την εγγραφή αποτυχημένης σύνδεσης

Καθορίστε ποια ταυτότητα πιστοποίησε ο διακομιστής αρχείων και ποιο μηχάνημα την παρουσίασε. Ένας λογαριασμός τομέα, ένας τοπικός λογαριασμός με παρόμοιο σύντομο όνομα και ένας ξεχωριστός λογαριασμός VPN δεν είναι εναλλάξιμοι, και το σφάλμα βγάζει νόημα μόνο όταν είναι γνωστός ο ακριβής.

Το αρχείο καταγραφής ασφαλείας καταγράφει την προσπάθεια με τον λογαριασμό και το όνομα του καλούντος σταθμού εργασίας, και ακριβώς αυτό το ζεύγος ελέγχεται ως προς τον περιορισμό:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Η πρώτη εντολή δείχνει την αποτυχία και τη συμβολοσειρά σταθμού εργασίας που έλαβε ο διακομιστής, και η δεύτερη δείχνει την επιτρεπόμενη λίστα στον λογαριασμό. Συγκρίνετε τα δύο αντί να υποθέσετε ότι το όνομα υπολογιστή του πελάτη είναι αυτό που κατέγραψε ο διακομιστής. Ένα όνομα που φαίνεται λάθος στο αρχείο καταγραφής είναι συνήθως το χρήσιμο εύρημα, επειδή ονομάζει το μηχάνημα με το οποίο ο διακομιστής πιστεύει πραγματικά ότι μιλάει. Αυτή η πεποίθηση είναι αυτό ως προς το οποίο ελέγχεται ο περιορισμός.

Μην προσθέσετε το όνομα της πύλης VPN επειδή η κίνηση περνά από αυτήν. Η πύλη δεν είναι ο πιστοποιημένος καλών, και η προσθήκη της στη λίστα δεν αλλάζει τίποτα ενώ κάνει τον λογαριασμό δυσκολότερο να ελεγχθεί.

Διορθώστε τον περιορισμό στο μικρότερο εύρος

Αν το μηχάνημα πρέπει να επιτραπεί, προσθέστε ακριβώς αυτή την καταχώριση στη λίστα σταθμών εργασίας του λογαριασμού και αφήστε όλα τα άλλα όπως είναι. Αν όχι, η σωστή απάντηση είναι ένα εγκεκριμένο μηχάνημα και όχι η αφαίρεση του περιορισμού, επειδή ο περιορισμός υπάρχει για να περιορίζει πού μπορούν να χρησιμοποιηθούν αυτά τα διαπιστευτήρια.

Οι μαζικές επεξεργασίες είναι συνηθισμένες εδώ και συνήθως λανθασμένες. Ένας λογαριασμός με μεγάλη λίστα επιτρεπόμενων μηχανημάτων είναι λογαριασμός του οποίου ο περιορισμός έχει πάψει να σημαίνει κάτι.

Βοηθά επίσης να γνωρίζετε αν η ταυτότητα είναι κοινόχρηστη. Όταν πολλοί χρησιμοποιούν έναν λογαριασμό υπηρεσίας από πολλούς φορητούς υπολογιστές, η λίστα σταθμών εργασίας μεγαλώνει μέχρι η πολιτική να γίνει άσκοπη, κάτι που είναι πρόβλημα σχεδιασμού και όχι διαχείρισης.

Διαβάστε το επόμενο αποτέλεσμα, όχι την απουσία του

Μετά από μια εγκεκριμένη αλλαγή, κάντε ένα νέο αίτημα με τον προβλεπόμενο λογαριασμό και καταγράψτε τι συμβαίνει. Ένα διαφορετικό σφάλμα είναι πρόοδος, επειδή ονομάζει το επόμενο στάδιο αντί να επαναλαμβάνει το προηγούμενο.

Μια διαδρομή DFS μπορεί να εισαγάγει αρκετούς διακομιστές και αρκετές αποφάσεις πρόσβασης. Ο καθαρισμός ενός χαρακτηριστικού λογαριασμού τακτοποιεί ένα από αυτά. Οι στόχοι παραπομπής πρέπει ακόμη να είναι προσβάσιμοι, και τα δικαιώματα κοινής χρήσης και συστήματος αρχείων σε κάθε έναν από αυτούς πρέπει ακόμη να δέχονται τον λογαριασμό. Προχωρήστε στο επόμενο σφάλμα με τον ίδιο τρόπο αντί να υποθέσετε ότι η πρώτη διόρθωση κάλυψε όλα.

Δεν υπάρχει λόγος να ξαναχτίσετε το προφίλ VPN ή να επαναφέρετε τον κωδικό πρόσβασης όσο τα Windows αναφέρουν περιορισμό σταθμού εργασίας. Η λίστα σφαλμάτων δικτύου της Microsoft αξίζει να μένει ανοιχτή ακριβώς για αυτόν τον λόγο: ο κωδικός σας λέει ποιο χαρακτηριστικό να εξετάσετε πριν αγγίξετε οτιδήποτε.