SMB 2240 VPN-i kaudu: kontrollige sisselogimise tööjaamade loetelu

Kui avada jagatud ressurss läbi tunneli, tagastatakse viga 2240, ja esimene instinkt on vaadata marsruutimist. Number on sellest täpsem. Windows teatab, et konto ei pruugi sellest tööjaamast sisse logida saada, mis on väide ühe konto poliitika kohta, mitte väide kättesaadavuse kohta.

Hoidke vea number piletil. See kitsendab uurimise ühe atribuudi ja ühe sündmuseni.

Mida 2240 tegelikult nimetab

Võrgu haldamise vigade loetelu määratleb 2240 kui NERR_InvalidWorkstation, nimi, mida tasub lugeda sõna-sõnalt. Konto on piiratud lubatud sisselogimisarvutite hulgaga ja masin, mis esitab volitusi, ei kuulu nende hulka. Miski selles määratluses ei maini tunnelit, failijagamist ega parooli. Atribuut asub kontol ja seda hinnatakse sisselogimise katsel.

Sama perekonna teised numbrid tähendavad midagi muud. Lubatud sisselogimistundide rikkumine on teine kood, nagu ka vale parool. Nende kõigi raporteerimine juurdepääsuprobleemina raiskab selle täpsuse, mille operatsioonisüsteem just andis.

Piirang elab kontol, seega järgib see identiteeti kõikjal, kus see autenditakse. Kasutaja, kes töötab iga päev kontoris ja võtab sülearvuti koju, puutub sellega kokku ainult siis, kui masina nimi muutub, ja seetõttu võib tõrge kuude kaupa tunduda VPN-i probleemina, kuni keegi mustri ära tunneb.

Kaks seotud asjaolu ei selgita seda. NAT-seade võib muuta vaadeldud lähteaadressi ilma konto atribuuti puutumata, ja DNS-i sufiksi muutmine võib parandada lühikese nime, jättes sisselogimispiirangu täpselt sinna, kus see oli. Mõlemat tasub välistada ja kumbki ei asenda atribuudi lugemist.

Lugege kõigepealt ebaõnnestunud sisselogimise kirjet

Tehke kindlaks, millise identiteedi failiserver autentis ja milline masin selle esitas. Domeenikonto, sarnase lühikese nimega kohalik konto ja eraldi VPN-konto ei ole vahetatavad ning viga on mõttekas alles siis, kui täpne on teada.

Turvalogis registreeritakse katse koos kontoga ja kutsuja tööjaama nimega, ja just seda paari hinnatakse piirangu suhtes:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Esimene käsk näitab tõrget ja tööjaama stringi, mille server sai, teine näitab kontol lubatud loetelu. Võrrelge neid kahte, selle asemel et eeldada, et kliendi enda arvutinimi on see, mille server kirjutas. Logis vale näiv nimi on tavaliselt kasulik leid, sest see nimetab masinat, kellega server tegelikult arvab rääkivat. Just selle uskumuse suhtes piirangut kontrollitakse.

Ärge lisage VPN-lüüsi nime sellepärast, et liiklus sealt läbi läheb. Lüüs ei ole autenditud kutsuja ja selle loetelusse lisamine ei muuda midagi, tehes konto ülevaatamise raskemaks.

Parandage piirang väikseimas ulatuses

Kui masinale peaks luba antama, lisage täpselt see kirje konto tööjaamade loetellu ja jätke kõik muu puutumata. Kui mitte, on õige vastus heaks kiidetud masin, mitte piirangu eemaldamine, sest piirang on olemas selleks, et piirata, kus neid volitusi kasutada tohib.

Hulgimuudatused on siin tavalised ja tavaliselt valed. Konto, millel on pikk lubatud masinate loetelu, on konto, mille piirang on lakanud midagi tähendamast.

Kasulik on teada ka seda, kas identiteet on jagatud. Kui mitu inimest kasutab ühte teenusekontot mitmest sülearvutist, kasvab tööjaamade loetelu, kuni poliitika muutub mõttetuks, mis on disaini, mitte haldusprobleem.

Lugege järgmist tulemust, mitte selle puudumist

Pärast heakskiidetud muudatust tehke kavandatud kontoga uus päring ja kirjutage üles, mis juhtub. Teistsugune viga on edasiminek, sest see nimetab järgmise etapi, mitte ei korda eelmist.

DFS-i tee võib tuua mitu serverit ja mitu juurdepääsuotsust. Ühe konto atribuudi puhastamine lahendab ühe neist. Ümbersuunamise sihtkohad peavad ikka olema kättesaadavad ja igaühe jagamis- ning failisüsteemiõigused peavad ikka kontot lubama. Töötage järgmine viga läbi samamoodi, selle asemel et eeldada, et esimene parandus kattis kõik.

Pole põhjust VPN-profiili uuesti ehitada ega parooli lähtestada, kui Windows teatab tööjaama piirangust. Microsofti võrguvigade loetelu tasub just sel põhjusel lahti hoida: kood ütleb, millist atribuuti uurida, enne kui millegi külge puutute.