SMB 2240 oer VPN: kontrolearje de list mei oanmeldwurkstasjons

In dieling oer de tunnel iepenje jout flater 2240, en de earste ynstinkt is om nei de rûtelearring te sjen. It nûmer is spesifiker as dat. Windows meldt dat it akkount miskien net fan dizze wurkstasjon ôf oanmelde kin, wat in beliedsútspraak oer ien akkount is en net in útspraak oer berikberens.

Hâld it flatersnûmer yn it ticket. It ferringet it ûndersyk ta ien attribút en ien barren.

Wat 2240 eins beneamt

De list mei netwurkbehearflaters identifisearret 2240 as NERR_InvalidWorkstation, in namme dy't men letterlik lêze moat. It akkount is beheind ta in set tastiene oanmeldkompjûters, en de masine dy't de oanmeldgegevens presintearret heart dêr net by. Neat yn dy definysje neamt de tunnel, de dieling of it wachtwurd. It attribút sit op it akkount en wurdt beoardiele as de oanmelding besocht wurdt.

Oare nûmers yn deselde famylje betsjutte wat oars. It oertrêdzjen fan tastiene oanmeldsoeren is in oare koade, en in ferkeard wachtwurd ek. Se allegear as tagongsprobleem rapportearje ferspilet de spesifikaasje dy't it bestjoeringssysteem krekt levere.

De beheining wennet op it akkount, dus folget it de identiteit oeral dêr't dy autentisearret. In brûker dy't elke dei op kantoar wurket en in laptop mei nei hûs nimt, komt der allinnich mei yn 'e kunde as de masinenamme feroaret, en dêrom kin de flater moannenlang as in VPN-probleem lykje foardat immen it patroan werkenint.

Twa besibbe feiten ferklearje it net. In NAT-apparaat kin it waarnommen boarneadres feroarje sûnder it akkountattribút oan te reitsjen, en in feroaring fan DNS-suffiks kin in koarte namme reparearje wylst de oanmeldbeheining krekt bliuwt wêr't er wie. Beide binne it wurdich om út te sluten, en gjin fan beide ferfangt it lêzen fan it attribút.

Lês earst de oantekening fan mislearre oanmelding

Stel fêst hokker identiteit de triemserver autentisearre hat, en hokker masine dy presintearre. In domeinakkount, in lokaal akkount mei in ferlykbere koarte namme en in apart VPN-akkount binne net útwikselber, en de flater hat allinnich sin as de krekte bekend is.

It feiligensloch registrearret de poging mei it akkount en de namme fan 'e oanroppende wurkstasjon, en krekt dat pear wurdt beoardiele tsjin 'e beheining:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

It earste kommando toant de flater en de wurkstasjonrigel dy't de server ûntfong, en it twadde toant de tastiene list op it akkount. Fergelykje de beide ynstee fan oan te nimmen dat de eigen kompjûternamme fan 'e klant is wat de server registrearre. In namme dy't ferkeard liket yn it loch is meastentiids de nuttige fynst, om't er de masine neamt dêr't de server echt tinkt dat er mei praat. Krekt tsjin dy oertsjûging wurdt de beheining kontrolearre.

Foegje de namme fan 'e VPN-gateway net ta om't it ferkear der trochhinne giet. De gateway is net de autentisearre oanropper, en it tafoegjen oan 'e list feroaret neat wylst it it akkount hurder te kontrolearjen makket.

Reparearje de beheining op 'e lytste omfang

As de masine tastien wurde moat, foegje dan krekt dy ynfier ta oan 'e wurkstasjonslist fan it akkount en lit al it oare gewurde. Sa net, dan is it goede antwurd in goedkarde masine ynstee fan it fuortheljen fan 'e beheining, om't de beheining bestiet om te beheinen wêr't dy oanmeldgegevens brûkt wurde meie.

Massale bewurkings binne hjir gewoan en meastentiids ferkeard. In akkount mei in lange list tastiene masines is in akkount waans beheining ophâlden is mei wat te betsjutten.

It helpt ek om te witten oft de identiteit dield wurdt. As ferskate minsken ien tsjinstakkount fan ferskate laptops brûke, groeit de wurkstasjonslist oant it belied sinleas is, wat in ûntwerpprobleem is en net in administratyf ien.

Lês it folgjende resultaat, net it ûntbrekken derfan

Meitsje nei in goedkarde feroaring in nij fersyk mei it bedoelde akkount en skriuw op wat der bart. In oare flater is foarútgong, om't er de folgjende stap neamt ynstee fan 'e lêste te werheljen.

In DFS-paad kin ferskate servers en ferskate tagongsbesluten ynbringe. Ien akkountattribút skjinhâlde beslist ien dêrfan. De ferwizingdoelen moatte noch berikber wêze, en de diel- en triemsysteemrjochten op elk dêrfan moatte it akkount noch talitte. Wurkgje de folgjende flater op deselde manier troch ynstee fan oan te nimmen dat de earste reparaasje se allegear dekte.

Der is gjin reden om it VPN-profyl opnij te bouwen of it wachtwurd werom te setten wylst Windows in wurkstasjonsbeheining meldt. De list mei netwurkflaters fan Microsoft is it wurdich iepen te hâlden krekt om dizze reden: de koade fertelt jo hokker attribút jo besjen moatte foardat jo wat oanreitsje.