SMB 2240 sobre VPN: revise la lista de estaciones de trabajo de inicio de sesión

Abrir un recurso compartido a través del túnel devuelve el error 2240, y el primer instinto es mirar el enrutamiento. El número es más específico que eso. Windows informa de que es posible que la cuenta no pueda iniciar sesión desde esta estación de trabajo, lo que es una declaración de política sobre una cuenta y no una declaración sobre accesibilidad.

Conserve el número de error en el ticket. Reduce la investigación a un atributo y un evento.

Qué designa realmente 2240

La lista de errores de administración de red identifica 2240 como NERR_InvalidWorkstation, un nombre que conviene leer literalmente. La cuenta está restringida a un conjunto de equipos de inicio de sesión permitidos, y la máquina que presenta las credenciales no está entre ellos. Nada en esa definición menciona el túnel, el recurso compartido ni la contraseña. El atributo reside en la cuenta y se evalúa cuando se intenta el inicio de sesión.

Otros números de la misma familia significan otra cosa. Una infracción de las horas de inicio de sesión permitidas es un código distinto, y también lo es una contraseña incorrecta. Informar de todos ellos como un problema de acceso desperdicia la especificidad que el sistema operativo acaba de aportar.

La restricción vive en la cuenta, así que sigue a la identidad dondequiera que se autentique. Un usuario que trabaja en la oficina todos los días y se lleva un portátil a casa solo la encuentra cuando cambia el nombre de la máquina, y por eso el fallo puede parecer un problema de VPN durante meses antes de que alguien reconozca el patrón.

Dos hechos relacionados no lo explican. Un dispositivo NAT puede cambiar la dirección de origen observada sin tocar el atributo de la cuenta, y un cambio de sufijo DNS puede corregir un nombre corto mientras deja la restricción de inicio de sesión exactamente donde estaba. Conviene descartar ambos, y ninguno sustituye la lectura del atributo.

Lea primero el registro de inicio de sesión fallido

Determine qué identidad autenticó el servidor de archivos y qué máquina la presentó. Una cuenta de dominio, una cuenta local con un nombre corto similar y una cuenta de VPN separada no son intercambiables, y el error solo tiene sentido cuando se conoce la exacta.

El registro de seguridad anota el intento con la cuenta y el nombre de la estación de trabajo que llama, y es justo ese par contra el que se evalúa la restricción:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

El primer comando muestra el fallo y la cadena de estación de trabajo que recibió el servidor, y el segundo muestra la lista permitida en la cuenta. Compare los dos en lugar de suponer que el nombre del equipo del cliente es lo que registró el servidor. Un nombre que parece incorrecto en el registro suele ser el hallazgo útil, porque nombra la máquina con la que el servidor cree realmente que habla. Esa creencia es contra la que se comprueba la restricción.

No añada el nombre de la puerta de enlace VPN porque el tráfico pase por ella. La puerta de enlace no es el llamador autenticado, y añadirla a la lista no cambia nada mientras hace que la cuenta sea más difícil de revisar.

Corrija la restricción en el ámbito más pequeño

Si la máquina debe permitirse, añada exactamente esa entrada a la lista de estaciones de trabajo de la cuenta y deje todo lo demás como está. Si no, la respuesta correcta es una máquina aprobada en lugar de eliminar la restricción, porque la restricción existe para limitar dónde pueden usarse esas credenciales.

Las ediciones masivas son habituales aquí y suelen ser erróneas. Una cuenta con una lista larga de máquinas permitidas es una cuenta cuya restricción ha dejado de significar algo.

También ayuda saber si la identidad es compartida. Cuando varias personas usan una cuenta de servicio desde varios portátiles, la lista de estaciones de trabajo crece hasta que la política pierde sentido, lo que es un problema de diseño y no de administración.

Lea el siguiente resultado, no su ausencia

Tras un cambio aprobado, haga una solicitud nueva con la cuenta prevista y anote qué ocurre. Un error distinto es progreso, porque nombra la siguiente etapa en lugar de repetir la anterior.

Una ruta DFS puede introducir varios servidores y varias decisiones de acceso. Despejar un atributo de cuenta resuelve una de ellas. Los destinos de referencia todavía tienen que ser accesibles, y los permisos de recurso compartido y de sistema de archivos en cada uno de ellos todavía tienen que admitir la cuenta. Avance por el siguiente error del mismo modo en lugar de suponer que la primera corrección los cubrió todos.

No hay razón para reconstruir el perfil de VPN ni para restablecer la contraseña mientras Windows informa de una restricción de estación de trabajo. La lista de errores de red de Microsoft merece tenerse abierta justo por esto: el código le dice qué atributo inspeccionar antes de tocar nada.