SMB 2240 VPN-en át: ellenőrizze a bejelentkezési munkaállomás-listát

Ha egy megosztást az alagúton keresztül nyitunk meg, 2240 hibát kapunk, és az első ösztön a forgalomirányítás vizsgálata. A szám ennél konkrétabb. A Windows azt jelzi, hogy a fiók esetleg nem tud bejelentkezni erről a munkaállomásról, ami egy fiókra vonatkozó házirend-állítás, nem pedig elérhetőségi állítás.

Tartsa meg a hibaszámot a jegyben. Egyetlen attribútumra és egyetlen eseményre szűkíti a vizsgálatot.

Mit is nevez meg valójában a 2240

A hálózatkezelési hibák listája a 2240 kódot NERR_InvalidWorkstation néven azonosítja, amely nevet érdemes szó szerint olvasni. A fiók az engedélyezett bejelentkezési számítógépek halmazára van korlátozva, és a hitelesítő adatokat bemutató gép nincs közöttük. A definíció semmit nem említ az alagútról, a fájlmegosztásról vagy a jelszóról. Az attribútum a fiókon van, és a bejelentkezés kísérletekor értékelődik ki.

Ugyanazon család más számai mást jelentenek. Az engedélyezett bejelentkezési órák megsértése más kód, ahogy a rossz jelszó is. Mindegyiket hozzáférési problémaként jelenteni elpazarolja azt a pontosságot, amelyet az operációs rendszer éppen most adott.

A korlátozás a fiókon él, ezért követi az identitást mindenhová, ahol hitelesít. Az a felhasználó, aki mindennap az irodában dolgozik és hazaviszi a laptopot, csak akkor találkozik vele, amikor a gép neve megváltozik, és ezért tűnhet hónapokig VPN-problémának a hiba, míg valaki fel nem ismeri a mintát.

Két kapcsolódó tény nem magyarázza meg. Egy NAT-eszköz megváltoztathatja a megfigyelt forrás címet anélkül, hogy hozzányúlna a fiók attribútumához, és a DNS-utótag módosítása kijavíthat egy rövid nevet, miközben a bejelentkezési korlátozás pont ott marad, ahol volt. Mindkettőt érdemes kizárni, és egyik sem helyettesíti az attribútum olvasását.

Először a sikertelen bejelentkezés rekordját olvassa el

Állapítsa meg, melyik identitást hitelesítette a fájlszerver, és melyik gép mutatta be. A tartományi fiók, a hasonló rövid nevű helyi fiók és a külön VPN-fiók nem cserélhetők fel, és a hiba csak akkor értelmezhető, ha a pontos ismert.

A biztonsági napló rögzíti a kísérletet a fiókkal és a hívó munkaállomás nevével, és pontosan ezt a párt vizsgálja a korlátozás:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Az első parancs a hibát és a szerver által kapott munkaállomás-sztringet mutatja, a második a fiókon engedélyezett listát. Hasonlítsa össze a kettőt, ahelyett hogy feltételezné, hogy az ügyfél saját számítógépneve az, amit a szerver rögzített. A naplóban rossznak tűnő név általában a hasznos lelet, mert azt a gépet nevezi meg, amellyel a szerver valóban beszél. Pontosan ezt a hitet vizsgálja a korlátozás.

Ne adja hozzá a VPN-átjáró nevét azért, mert a forgalom rajta megy át. Az átjáró nem a hitelesített hívó, és hozzáadása a listához semmit nem változtat, miközben a fiók áttekintését nehezebbé teszi.

A legkisebb hatókörben javítsa a korlátozást

Ha a gépet engedélyezni kell, pontosan azt a bejegyzést adja a fiók munkaállomás-listájához, és minden mást hagyjon békén. Ha nem, a helyes válasz egy jóváhagyott gép, nem a korlátozás eltávolítása, mert a korlátozás azért létezik, hogy korlátozza, hol használhatók ezek a hitelesítő adatok.

A kötegelt szerkesztés itt gyakori és általában hibás. Az a fiók, amelynek hosszú az engedélyezett gépek listája, olyan fiók, amelynek korlátozása már semmit nem jelent.

Az is segít, ha tudja, hogy az identitás megosztott-e. Amikor többen használnak egy szolgáltatásfiókot több laptopról, a munkaállomás-lista addig nő, amíg a szabályzat értelmetlenné nem válik, ami tervezési, nem adminisztratív probléma.

A következő eredményt olvassa, ne annak hiányát

Jóváhagyott módosítás után indítson új kérést a szándékolt fiókkal, és jegyezze fel, mi történik. Egy másik hiba előrelépés, mert a következő szakaszt nevezi meg, ahelyett hogy az előzőt ismételné.

Egy DFS-útvonal több kiszolgálót és több hozzáférési döntést hozhat be. Egy fiókattribútum tisztázása egyet rendez el közülük. Az átirányítási céloknak továbbra is elérhetőknek kell lenniük, és mindegyiken a megosztási és fájlrendszer-jogosultságoknak továbbra is át kell engedniük a fiókot. A következő hibát ugyanígy dolgozza fel, ahelyett hogy feltételezné, hogy az első javítás mindet lefedte.

Nincs ok a VPN-profil újraépítésére vagy a jelszó visszaállítására, amíg a Windows munkaállomás-korlátozást jelez. A Microsoft hálózati hibák listáját érdemes nyitva tartani éppen ezért: a kód megmondja, melyik attribútumot vizsgálja, mielőtt bármihez hozzányúl.