SMB 2240 lewat VPN: periksa daftar workstation logon

Membuka share melalui terowongan mengembalikan galat 2240, dan naluri pertama adalah melihat perutean. Angkanya lebih spesifik dari itu. Windows melaporkan bahwa akun mungkin tidak dapat logon dari workstation ini, yang merupakan pernyataan kebijakan tentang satu akun dan bukan pernyataan tentang keterjangkauan.

Simpan nomor galat di tiket. Itu mempersempit penyelidikan ke satu atribut dan satu peristiwa.

Apa yang sebenarnya disebut 2240

Daftar galat manajemen jaringan mengidentifikasi 2240 sebagai NERR_InvalidWorkstation, nama yang layak dibaca secara harfiah. Akun dibatasi pada sekumpulan komputer logon yang diizinkan, dan mesin yang menyajikan kredensial tidak termasuk di dalamnya. Tidak ada yang menyebut terowongan, share file, atau kata sandi dalam definisi itu. Atribut berada pada akun dan dievaluasi saat logon dicoba.

Nomor lain dalam keluarga yang sama berarti hal lain. Pelanggaran jam logon yang diizinkan adalah kode berbeda, begitu juga kata sandi yang salah. Melaporkan semuanya sebagai masalah akses membuang kekhususan yang baru saja diberikan sistem operasi.

Pembatasan itu hidup pada akun, jadi ia mengikuti identitas di mana pun identitas itu diautentikasi. Pengguna yang bekerja di kantor setiap hari dan membawa laptop pulang hanya menemukannya ketika nama mesin berubah, dan itulah sebabnya kegagalan bisa tampak seperti masalah VPN selama berbulan-bulan sebelum seseorang mengenali polanya.

Dua fakta terkait tidak menjelaskannya. Perangkat NAT dapat mengubah alamat sumber yang teramati tanpa menyentuh atribut akun, dan perubahan sufiks DNS dapat memperbaiki nama pendek sambil membiarkan pembatasan logon tepat di tempatnya. Keduanya layak disingkirkan, dan tidak satu pun menggantikan pembacaan atribut.

Baca catatan logon yang gagal lebih dahulu

Tetapkan identitas mana yang diautentikasi server file, dan mesin mana yang menyajikannya. Akun domain, akun lokal dengan nama pendek serupa, dan akun VPN terpisah tidak dapat dipertukarkan, dan galat itu baru masuk akal setelah yang tepat diketahui.

Log keamanan mencatat percobaan dengan akun dan nama workstation pemanggil, dan pasangan itulah yang diuji terhadap pembatasan:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Perintah pertama menunjukkan kegagalan dan string workstation yang diterima server, dan yang kedua menunjukkan daftar yang diizinkan pada akun. Bandingkan keduanya alih-alih menganggap nama komputer klien sendiri adalah yang dicatat server. Nama yang tampak salah di log biasanya merupakan temuan yang berguna, karena nama itu menyebut mesin yang benar-benar dianggap server sedang diajak bicara. Keyakinan itulah yang diuji oleh pembatasan.

Jangan menambahkan nama gateway VPN karena lalu lintas melewatinya. Gateway bukan pemanggil yang diautentikasi, dan menambahkannya ke daftar tidak mengubah apa pun sementara membuat akun lebih sulit ditinjau.

Perbaiki pembatasan pada cakupan terkecil

Jika mesin itu harus diizinkan, tambahkan persis entri tersebut ke daftar workstation akun dan biarkan yang lain apa adanya. Jika tidak, jawaban yang benar adalah mesin yang disetujui, bukan menghapus pembatasan, karena pembatasan ada untuk membatasi di mana kredensial itu boleh dipakai.

Pengeditan massal lazim di sini dan biasanya salah. Akun dengan daftar mesin yang diizinkan panjang adalah akun yang pembatasannya berhenti berarti apa-apa.

Berguna juga untuk mengetahui apakah identitas itu dibagi. Ketika beberapa orang memakai satu akun layanan dari beberapa laptop, daftar workstation tumbuh sampai kebijakannya tidak bermakna, yang merupakan masalah desain, bukan administratif.

Baca hasil berikutnya, bukan ketiadaannya

Setelah perubahan yang disetujui, ajukan permintaan baru dengan akun yang dimaksud dan catat apa yang terjadi. Galat yang berbeda adalah kemajuan, karena menyebut tahap berikutnya alih-alih mengulang yang sebelumnya.

Jalur DFS dapat memunculkan beberapa server dan beberapa keputusan akses. Membersihkan satu atribut akun menyelesaikan salah satunya. Target rujukan tetap harus dapat dijangkau, dan izin share serta sistem file pada masing-masingnya tetap harus menerima akun itu. Telusuri galat berikutnya dengan cara yang sama alih-alih menganggap perbaikan pertama menutupi semuanya.

Tidak ada alasan untuk membangun ulang profil VPN atau mengatur ulang kata sandi selama Windows melaporkan pembatasan workstation. Daftar galat jaringan dari Microsoft layak dibiarkan terbuka justru karena ini: kodenya memberi tahu Anda atribut mana yang harus diperiksa sebelum menyentuh apa pun.