SMB 2240 sobre VPN: revise a lista de estacións de traballo de inicio de sesión

Abrir un recurso compartido a través do túnel devolve o erro 2240, e o primeiro instinto é mirar o enrutamento. O número é máis específico ca iso. Windows informa de que pode que a conta non poida iniciar sesión desde esta estación de traballo, o que é unha declaración de política sobre unha conta e non unha declaración sobre accesibilidade.

Manteña o número de erro no ticket. Reduce a investigación a un atributo e un evento.

Que designa realmente 2240

A lista de erros de administración de rede identifica 2240 como NERR_InvalidWorkstation, un nome que convén ler literalmente. A conta está restrinxida a un conxunto de equipos de inicio de sesión permitidos, e a máquina que presenta as credenciais non está entre eles. Nada nesa definición menciona o túnel, o recurso compartido nin o contrasinal. O atributo reside na conta e avalíase cando se tenta o inicio de sesión.

Outros números da mesma familia significan outra cousa. Unha infracción das horas de inicio de sesión permitidas é un código distinto, e tamén o é un contrasinal incorrecto. Informar de todos eles como un problema de acceso desaproveita a especificidade que o sistema operativo acaba de achegar.

A restrición vive na conta, así que segue a identidade onde queira que se autentique. Un usuario que traballa na oficina todos os días e leva un portátil á casa só a atopa cando cambia o nome da máquina, e por iso o fallo pode parecer un problema de VPN durante meses antes de que alguén recoñeza o patrón.

Dous feitos relacionados non o explican. Un dispositivo NAT pode cambiar o enderezo de orixe observado sen tocar o atributo da conta, e un cambio de sufixo DNS pode corrixir un nome curto mentres deixa a restrición de inicio de sesión exactamente onde estaba. Convén descartar ambos, e ningún substitúe a lectura do atributo.

Lea primeiro o rexistro de inicio de sesión fallido

Determine que identidade autenticou o servidor de ficheiros e que máquina a presentou. Unha conta de dominio, unha conta local cun nome curto similar e unha conta de VPN separada non son intercambiables, e o erro só ten sentido cando se coñece a exacta.

O rexistro de seguridade anota o intento coa conta e o nome da estación de traballo que chama, e é xusto ese par contra o que se avalía a restrición:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

O primeiro comando mostra o fallo e a cadea de estación de traballo que recibiu o servidor, e o segundo mostra a lista permitida na conta. Compare os dous en lugar de supoñer que o nome do equipo do cliente é o que rexistrou o servidor. Un nome que parece incorrecto no rexistro adoita ser o achado útil, porque nomea a máquina coa que o servidor cre realmente que fala. Esa crenza é contra a que se comproba a restrición.

Non engada o nome da pasarela VPN porque o tráfico pase por ela. A pasarela non é o chamador autenticado, e engadila á lista non cambia nada mentres fai que a conta sexa máis difícil de revisar.

Corrixa a restrición no ámbito máis pequeno

Se a máquina debe permitirse, engada exactamente esa entrada á lista de estacións de traballo da conta e deixe todo o demais como está. Se non, a resposta correcta é unha máquina aprobada en lugar de eliminar a restrición, porque a restrición existe para limitar onde se poden usar esas credenciais.

As edicións masivas son habituais aquí e adoitan ser erróneas. Unha conta cunha lista longa de máquinas permitidas é unha conta cuxa restrición deixou de significar algo.

Tamén axuda saber se a identidade é compartida. Cando varias persoas usan unha conta de servizo desde varios portátiles, a lista de estacións de traballo medra ata que a política perde sentido, o que é un problema de deseño e non de administración.

Lea o seguinte resultado, non a súa ausencia

Tras un cambio aprobado, faga unha solicitude nova coa conta prevista e anote que ocorre. Un erro distinto é progreso, porque nomea a seguinte etapa en lugar de repetir a anterior.

Unha ruta DFS pode introducir varios servidores e varias decisións de acceso. Despexar un atributo de conta resolve unha delas. Os destinos de referencia aínda teñen que ser accesibles, e os permisos de recurso compartido e de sistema de ficheiros en cada un deles aínda teñen que admitir a conta. Avance polo seguinte erro do mesmo xeito en lugar de supoñer que a primeira corrección os cubriu todos.

Non hai razón para reconstruír o perfil de VPN nin para restablecer o contrasinal mentres Windows informa dunha restrición de estación de traballo. A lista de erros de rede de Microsoft merece terse aberta xusto por isto: o código dille que atributo inspeccionar antes de tocar nada.