SMB 2240 via VPN : vérifier la liste des postes de travail autorisés

Ouvrir un partage à travers le tunnel renvoie l’erreur 2240, et le premier réflexe est de regarder le routage. Le numéro est plus précis que cela. Windows signale que le compte ne peut peut-être pas ouvrir de session depuis ce poste de travail, ce qui est une déclaration de stratégie sur un compte et non une déclaration sur l’accessibilité.

Gardez le numéro d’erreur dans le ticket. Il réduit l’enquête à un attribut et à un événement.

Ce que 2240 désigne réellement

La liste des erreurs de gestion de réseau identifie 2240 comme NERR_InvalidWorkstation, un nom qu’il faut lire au pied de la lettre. Le compte est limité à un ensemble d’ordinateurs de connexion autorisés, et la machine qui présente les informations d’identification n’en fait pas partie. Rien dans cette définition ne mentionne le tunnel, le partage de fichiers ou le mot de passe. L’attribut se trouve sur le compte et il est évalué lors de la tentative d’ouverture de session.

D’autres numéros de la même famille signifient autre chose. Une violation des heures de connexion autorisées est un autre code, tout comme un mot de passe incorrect. Les signaler tous comme un problème d’accès gaspille la précision que le système d’exploitation vient de fournir.

La restriction vit sur le compte, elle suit donc l’identité partout où elle s’authentifie. Un utilisateur qui travaille au bureau tous les jours et emporte un portable à la maison ne la rencontre que lorsque le nom de la machine change, et c’est pourquoi la panne peut ressembler à un problème de VPN pendant des mois avant que quelqu’un reconnaisse le schéma.

Deux faits liés ne l’expliquent pas. Un appareil NAT peut modifier l’adresse source observée sans toucher à l’attribut du compte, et un changement de suffixe DNS peut corriger un nom court tout en laissant la restriction de connexion exactement où elle était. Les deux méritent d’être écartés, et aucun ne remplace la lecture de l’attribut.

Lisez d’abord l’enregistrement d’échec d’ouverture de session

Déterminez quelle identité le serveur de fichiers a authentifiée et quelle machine l’a présentée. Un compte de domaine, un compte local au nom court similaire et un compte VPN distinct ne sont pas interchangeables, et l’erreur n’a de sens qu’une fois le bon connu.

Le journal de sécurité consigne la tentative avec le compte et le nom du poste de travail appelant, et c’est précisément cette paire qui sert à évaluer la restriction :

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

La première commande montre l’échec et la chaîne de poste de travail reçue par le serveur, la seconde montre la liste autorisée sur le compte. Comparez les deux au lieu de supposer que le nom de l’ordinateur du client est ce que le serveur a enregistré. Un nom qui semble faux dans le journal est généralement la trouvaille utile, car il nomme la machine à laquelle le serveur croit réellement parler. C’est cette croyance que la restriction vérifie.

N’ajoutez pas le nom de la passerelle VPN sous prétexte que le trafic la traverse. La passerelle n’est pas l’appelant authentifié, et l’ajouter à la liste ne change rien tout en rendant le compte plus difficile à auditer.

Corrigez la restriction au plus petit périmètre

Si la machine doit être autorisée, ajoutez exactement cette entrée à la liste des postes de travail du compte et laissez tout le reste intact. Sinon, la bonne réponse est une machine approuvée plutôt que la suppression de la restriction, car la restriction existe pour limiter l’endroit où ces informations d’identification peuvent servir.

Les modifications groupées sont courantes ici et généralement erronées. Un compte doté d’une longue liste de machines autorisées est un compte dont la restriction ne veut plus rien dire.

Il est aussi utile de savoir si l’identité est partagée. Quand plusieurs personnes utilisent un compte de service depuis plusieurs portables, la liste des postes de travail s’allonge jusqu’à ce que la stratégie perde tout sens, ce qui est un problème de conception et non d’administration.

Lisez le résultat suivant, pas son absence

Après une modification approuvée, faites une nouvelle demande avec le compte prévu et notez ce qui se passe. Une erreur différente est un progrès, car elle nomme l’étape suivante au lieu de répéter la précédente.

Un chemin DFS peut introduire plusieurs serveurs et plusieurs décisions d’accès. Régler un attribut de compte en règle une seule. Les cibles de référence doivent toujours être joignables, et les autorisations de partage et de système de fichiers sur chacune doivent toujours admettre le compte. Traitez l’erreur suivante de la même manière au lieu de supposer que la première correction les a toutes couvertes.

Il n’y a aucune raison de reconstruire le profil VPN ou de réinitialiser le mot de passe tant que Windows signale une restriction de poste de travail. La liste des erreurs réseau de Microsoft mérite d’être gardée ouverte précisément pour cette raison : le code vous dit quel attribut examiner avant de toucher à quoi que ce soit.