SMB 2240 trans VPN: kontrolu la liston de ensalutaj laborstacioj

Malfermi kunhavon tra la tunelo redonas eraron 2240, kaj la unua instinkto estas rigardi la enkursigadon. La numero estas pli specifa ol tio. Windows raportas, ke la konto eble ne rajtas ensaluti el ĉi tiu laborstacio, kio estas aserto pri politiko por unu konto, ne aserto pri atingeblo.

Konservu la erarnumeron en la bileto. Ĝi mallarĝigas la esploron al unu atributo kaj unu evento.

Kion 2240 efektive nomas

La listo de retadministraj eraroj identigas 2240 kiel NERR_InvalidWorkstation, nomo kiun indas legi laŭvorte. La konto estas limigita al aro de permesitaj ensalutaj komputiloj, kaj la maŝino, kiu prezentas la legitimilojn, ne estas inter ili. Nenio en tiu difino mencias la tunelon, la kunhavaĵon aŭ la pasvorton. La atributo sidas sur la konto kaj estas taksata kiam oni provas ensaluti.

Aliaj numeroj en la sama familio signifas ion alian. Malobservo de permesitaj ensalutaj horoj estas alia kodo, kaj same malĝusta pasvorto. Raporti ilin ĉiujn kiel alirproblemon malŝparas la specifecon, kiun la operaciumo ĵus donis.

La limigo loĝas sur la konto, do ĝi sekvas la identecon ĉie, kie ĝi aŭtentikigas. Uzanto, kiu laboras en la oficejo ĉiutage kaj portas tekkomputilon hejmen, renkontas ĝin nur kiam la maŝinnomo ŝanĝiĝas, kaj tial la malsukceso povas aspekti kiel VPN-problemo dum monatoj antaŭ ol iu rekonas la ŝablonon.

Du rilataj faktoj ne klarigas ĝin. NAT-aparato povas ŝanĝi la observatan fontadreson sen tuŝi la kontan atributon, kaj ŝanĝo de DNS-sufikso povas ripari mallongan nomon dum la ensaluta limigo restas ĝuste tie, kie ĝi estis. Ambaŭ indas ekskludi, kaj nek unu anstataŭas legi la atributon.

Unue legu la registron pri malsukcesa ensaluto

Determinu, kiun identecon la dosier-servilo aŭtentikigis, kaj kiun maŝinon prezentis ĝin. Domajna konto, loka konto kun simila mallonga nomo kaj aparta VPN-konto ne estas interŝanĝeblaj, kaj la eraro havas sencon nur kiam la ĝusta estas konata.

La sekureca protokolo registras la provon kun la konto kaj la nomo de la vokanta laborstacio, kaj ĝuste tiu paro estas taksata kontraŭ la limigo:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

La unua komando montras la malsukceson kaj la laborstacian ĉenon, kiun la servilo ricevis, kaj la dua montras la permesitan liston sur la konto. Komparu la du anstataŭ supozi, ke la propra komputilnomo de la kliento estas tio, kion la servilo registris. Nomo, kiu aspektas malĝusta en la protokolo, kutime estas la utila trovitaĵo, ĉar ĝi nomas la maŝinon, kun kiu la servilo vere kredas, ke ĝi parolas. Kontraŭ tiu kredo la limigo estas kontrolata.

Ne aldonu la nomon de la VPN-pordego ĉar trafiko trapasas ĝin. La pordego ne estas la aŭtentikigita vokanto, kaj aldoni ĝin al la listo ŝanĝas nenion dum ĝi malfaciligas la revizion de la konto.

Riparu la limigon en la plej malgranda amplekso

Se la maŝino rajtas esti permesita, aldonu ĝuste tiun enskribon al la laborstacia listo de la konto kaj lasu ĉion alian trankvila. Se ne, la ĝusta respondo estas aprobita maŝino anstataŭ forigi la limigon, ĉar la limigo ekzistas por limigi, kie tiuj legitimiloj povas esti uzataj.

Amasaj redaktoj oftas ĉi tie kaj kutime malĝustas. Konto kun longa listo de permesitaj maŝinoj estas konto, kies limigo ĉesis signifi ion.

Ankaŭ helpas scii, ĉu la identeco estas dividata. Kiam pluraj homoj uzas unu servokonton de pluraj tekkomputiloj, la laborstacia listo kreskas ĝis la politiko senesprimiĝas, kio estas dizajna problemo, ne administra.

Legu la sekvan rezulton, ne ĝian foreston

Post aprobita ŝanĝo, faru novan peton kun la celata konto kaj registru, kio okazas. Alia eraro estas progreso, ĉar ĝi nomas la sekvan etapon anstataŭ ripeti la lastan.

DFS-vojo povas enkonduki plurajn servilojn kaj plurajn alirdecidojn. Purigi unu kontan atributon solvas unu el ili. La referencaj celoj ankoraŭ devas esti atingeblaj, kaj la kunhavaj kaj dosiersistemaj permesoj sur ĉiu el ili ankoraŭ devas akcepti la konton. Trairu la sekvan eraron same, anstataŭ supozi, ke la unua riparo kovris ĉiujn.

Ekzistas neniu kialo rekonstrui la VPN-profilon aŭ restarigi la pasvorton dum Windows raportas laborstacian limigon. La listo de retaj eraroj de Microsoft indas teni malfermita ĝuste pro ĉi tio: la kodo diras al vi, kiun atributon ekzameni antaŭ ol tuŝi ion ajn.