SMB 2240 VPN:n yli: tarkista kirjautumisen työasemaluettelo

Jaon avaaminen tunnelin yli palauttaa virheen 2240, ja ensimmäinen vaisto on katsoa reititystä. Numero on sitä täsmällisempi. Windows ilmoittaa, että tili ei ehkä voi kirjautua tältä työasemalta, mikä on yhden tilin käytäntöä koskeva väite eikä väite tavoitettavuudesta.

Pidä virhenumero tiketissä. Se rajaa tutkinnan yhteen attribuuttiin ja yhteen tapahtumaan.

Mitä 2240 oikeastaan nimeää

Verkonhallinnan virheluettelo tunnistaa 2240 virheeksi NERR_InvalidWorkstation, nimi joka kannattaa lukea kirjaimellisesti. Tili on rajattu joukkoon sallittuja kirjautumistietokoneita, eikä tunnistetiedot esittävä kone kuulu niihin. Mikään määritelmässä ei mainitse tunnelia, tiedostojakoa tai salasanaa. Attribuutti sijaitsee tilillä ja arvioidaan, kun kirjautumista yritetään.

Saman perheen muut numerot tarkoittavat jotain muuta. Sallittujen kirjautumisaikojen rikkominen on eri koodi, samoin väärä salasana. Niiden kaikkien raportoiminen käyttöongelmana tuhlaa sen täsmällisyyden, jonka käyttöjärjestelmä juuri antoi.

Rajoitus elää tilillä, joten se seuraa identiteettiä kaikkialle, missä se todennetaan. Käyttäjä, joka työskentelee toimistossa joka päivä ja vie kannettavan kotiin, kohtaa sen vain, kun koneen nimi muuttuu, ja siksi vika voi näyttää kuukausia VPN-ongelmalta, ennen kuin joku tunnistaa kuvion.

Kaksi liittyvää seikkaa ei selitä sitä. NAT-laite voi muuttaa havaittua lähdeosoitetta koskematta tilin attribuuttiin, ja DNS-liitteen muutos voi korjata lyhyen nimen jättäen kirjautumisrajoituksen täsmälleen paikoilleen. Molemmat kannattaa sulkea pois, eikä kumpikaan korvaa attribuutin lukemista.

Lue ensin epäonnistuneen kirjautumisen tietue

Selvitä, minkä identiteetin tiedostopalvelin todensi ja mikä kone sen esitti. Toimialueen tili, samankaltaisen lyhyen nimen paikallinen tili ja erillinen VPN-tili eivät ole keskenään vaihdettavia, ja virhe on mielekäs vain, kun täsmällinen tiedetään.

Suojausloki kirjaa yrityksen tilin ja kutsuvan työaseman nimen kanssa, ja juuri tätä paria vasten rajoitus arvioidaan:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Ensimmäinen komento näyttää vian ja työasemamerkkijonon, jonka palvelin vastaanotti, ja toinen näyttää tilin sallitun luettelon. Vertaa niitä sen sijaan, että olettaisit asiakkaan oman tietokonenimen olevan se, minkä palvelin kirjasi. Lokissa väärältä näyttävä nimi on yleensä hyödyllinen löytö, koska se nimeää koneen, jonka kanssa palvelin todella uskoo puhuvansa. Juuri sitä uskoa vasten rajoitus tarkistetaan.

Älä lisää VPN-yhdyskäytävän nimeä siksi, että liikenne kulkee sen kautta. Yhdyskäytävä ei ole todennettu kutsuja, ja sen lisääminen luetteloon ei muuta mitään mutta tekee tilin tarkistamisesta vaikeampaa.

Korjaa rajoitus pienimmässä laajuudessa

Jos koneelle pitäisi antaa lupa, lisää täsmälleen se merkintä tilin työasemaluetteloon ja jätä kaikki muu rauhaan. Jos ei, oikea vastaus on hyväksytty kone eikä rajoituksen poistaminen, koska rajoitus on olemassa rajatakseen, missä näitä tunnistetietoja saa käyttää.

Joukkomuokkaukset ovat täällä tavallisia ja yleensä vääriä. Tili, jolla on pitkä luettelo sallituista koneista, on tili, jonka rajoitus on lakannut tarkoittamasta mitään.

Auttaa myös tietää, onko identiteetti jaettu. Kun useat ihmiset käyttävät yhtä palvelutiliä useilta kannettavilta, työasemaluettelo kasvaa, kunnes käytäntö on merkityksetön, mikä on suunnitteluongelma eikä hallinnollinen.

Lue seuraava tulos, älä sen puuttumista

Tee hyväksytyn muutoksen jälkeen uusi pyyntö aiotulla tilillä ja kirjaa, mitä tapahtuu. Erilainen virhe on edistystä, koska se nimeää seuraavan vaiheen sen sijaan, että toistaisi edellisen.

DFS-polku voi tuoda useita palvelimia ja useita käyttöpäätöksiä. Yhden tilin attribuutin selvittäminen ratkaisee yhden niistä. Uudelleenohjauksen kohteiden on edelleen oltava tavoitettavissa, ja jokaisen jakamis- ja tiedostojärjestelmäoikeuksien on edelleen hyväksyttävä tili. Käy seuraava virhe läpi samalla tavalla sen sijaan, että olettaisit ensimmäisen korjauksen kattaneen kaikki.

Ei ole syytä rakentaa VPN-profiilia uudelleen tai nollata salasanaa, kun Windows ilmoittaa työasemarajoituksesta. Microsoftin verkkovirheluettelo kannattaa pitää auki juuri tästä syystä: koodi kertoo, mitä attribuuttia tutkia ennen kuin kosket mihinkään.