SMB 2240 דרך VPN: בדיקת רשימת תחנות העבודה לכניסה

פתיחת שיתוף דרך המנהרה מחזירה שגיאה 2240, והאינסטינקט הראשון הוא להסתכל על הניתוב. המספר ספציפי יותר מזה. Windows מדווח שייתכן שהחשבון אינו יכול להיכנס מתחנת העבודה הזו, וזו הצהרת מדיניות על חשבון אחד ולא הצהרה על נגישות.

שמרו את מספר השגיאה בכרטיס. הוא מצמצם את החקירה לתכונה אחת ולאירוע אחד.

מה 2240 באמת מכנה

רשימת שגיאות ניהול הרשת מזהה את 2240 בתור NERR_InvalidWorkstation, שם שכדאי לקרוא כפשוטו. החשבון מוגבל לקבוצה של מחשבי כניסה מורשים, והמכונה שמציגה את פרטי ההזדהות אינה ביניהם. שום דבר בהגדרה הזו לא מזכיר את המנהרה, את השיתוף או את הסיסמה. התכונה יושבת על החשבון ומעריכה בעת ניסיון הכניסה.

מספרים אחרים באותה משפחה אומרים משהו אחר. הפרה של שעות כניסה מורשות היא קוד אחר, וכך גם סיסמה שגויה. דיווח על כולם כבעיית גישה מבזבז את הספציפיות שמערכת ההפעלה פשוט סיפקה.

ההגבלה חיה על החשבון, ולכן היא עוקבת אחרי הזהות בכל מקום שבו היא מאמתת. משתמש שעובד במשרד כל יום ולוקח מחשב נייד הביתה נתקל בה רק כששם המכונה משתנה, ולכן התקלה יכולה להיראות כמו בעיית VPN במשך חודשים לפני שמישהו מזהה את הדפוס.

שתי עובדות קשורות לא מסבירות אותה. התקן NAT יכול לשנות את כתובת המקור הנצפית בלי לגעת בתכונת החשבון, ושינוי סיומת DNS יכול לתקן שם קצר ולהשאיר את הגבלת הכניסה בדיוק במקום שבו הייתה. את שניהם כדאי לשלול, ואף אחד מהם אינו תחליף לקריאת התכונה.

קראו קודם את רשומת הכניסה הכושלת

קבעו איזו זהות אימת שרת הקבצים, ואיזו מכונה הציגה אותה. חשבון תחום, חשבון מקומי עם שם קצר דומה וחשבון VPN נפרד אינם ניתנים להחלפה, והשגיאה הגיונית רק כשהמדויק ידוע.

יומן האבטחה רושם את הניסיון עם החשבון ועם שם תחנת העבודה הקוראת, ובדיוק את הזוג הזה בודקת ההגבלה:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

הפקודה הראשונה מציגה את התקלה ואת מחרוזת תחנת העבודה שהשרת קיבל, והשנייה מציגה את הרשימה המותרת בחשבון. השוו בין השתיים במקום להניח ששם המחשב של הלקוח הוא מה שהשרת רשם. שם שנראה שגוי ביומן הוא בדרך כלל הממצא השימושי, כי הוא מכנה את המכונה שהשרת באמת חושב שהוא מדבר איתה. בדיוק באמונה הזו בודקת ההגבלה.

אל תוסיפו את שם שער ה-VPN מפני שהתעבורה עוברת דרכו. השער אינו הקורא המאומת, והוספתו לרשימה לא משנה דבר בעוד היא מקשה על סקירת החשבון.

תקנו את ההגבלה בהיקף הקטן ביותר

אם יש לאפשר את המכונה, הוסיפו בדיוק את הרשומה הזו לרשימת תחנות העבודה של החשבון והשאירו את כל השאר. אם לא, התשובה הנכונה היא מכונה מאושרת ולא הסרת ההגבלה, כי ההגבלה קיימת כדי להגביל היכן ניתן להשתמש בפרטי ההזדהות האלה.

עריכות גורפות נפוצות כאן ובדרך כלל שגויות. חשבון עם רשימה ארוכה של מכונות מורשות הוא חשבון שההגבלה שלו הפסיקה לומר משהו.

מועיל גם לדעת אם הזהות משותפת. כשכמה אנשים משתמשים בחשבון שירות אחד מכמה מחשבים ניידים, רשימת תחנות העבודה גדלה עד שהמדיניות חסרת משמעות, וזו בעיית תכנון ולא בעיית ניהול.

קראו את התוצאה הבאה, לא את היעדרה

לאחר שינוי מאושר, שלחו בקשה חדשה עם החשבון המיועד ורשמו מה קורה. שגיאה אחרת היא התקדמות, כי היא מכנה את השלב הבא במקום לחזור על הקודם.

נתיב DFS יכול להכניס כמה שרתים וכמה החלטות גישה. ניקוי תכונת חשבון אחת מכריע אחת מהן. יעדי ההפניה עדיין צריכים להיות נגישים, והרשאות השיתוף ומערכת הקבצים בכל אחד מהם עדיין צריכות להתיר את החשבון. עברו על השגיאה הבאה באותו אופן במקום להניח שהתיקון הראשון כיסה את כולן.

אין סיבה לבנות מחדש את פרופיל ה-VPN או לאפס את הסיסמה כשה-VPN מדווח על הגבלת תחנת עבודה. רשימת שגיאות הרשת של Microsoft כדאי להשאיר פתוחה בדיוק מהסיבה הזו: הקוד אומר לכם איזו תכונה לבדוק לפני שנוגעים במשהו.