SMB 2240 su VPN: controllare l'elenco delle workstation di accesso

Aprire una condivisione attraverso il tunnel restituisce l'errore 2240, e il primo istinto è guardare l'instradamento. Il numero è più specifico di così. Windows segnala che l'account potrebbe non poter accedere da questa workstation, il che è un'affermazione di policy su un account e non un'affermazione sulla raggiungibilità.

Tenere il numero di errore nel ticket. Restringe l'indagine a un attributo e a un evento.

Che cosa designa davvero 2240

L'elenco degli errori di gestione della rete identifica 2240 come NERR_InvalidWorkstation, un nome che va letto alla lettera. L'account è limitato a un insieme di computer di accesso consentiti, e la macchina che presenta le credenziali non è tra questi. Nulla in quella definizione menziona il tunnel, la condivisione o la password. L'attributo risiede sull'account e viene valutato al tentativo di accesso.

Altri numeri della stessa famiglia significano altro. Una violazione degli orari di accesso consentiti è un codice diverso, e così una password errata. Segnalarli tutti come problema di accesso spreca la specificità che il sistema operativo ha appena fornito.

La restrizione vive sull'account, quindi segue l'identità ovunque si autentichi. Un utente che lavora in ufficio ogni giorno e porta un portatile a casa la incontra solo quando cambia il nome della macchina, ed è per questo che il guasto può sembrare un problema VPN per mesi prima che qualcuno riconosca lo schema.

Due fatti collegati non lo spiegano. Un dispositivo NAT può cambiare l'indirizzo di origine osservato senza toccare l'attributo dell'account, e un cambio di suffisso DNS può correggere un nome breve lasciando la restrizione di accesso esattamente dov'era. Vale la pena escludere entrambi, e nessuno dei due sostituisce la lettura dell'attributo.

Leggere prima il record di accesso non riuscito

Stabilire quale identità ha autenticato il file server e quale macchina l'ha presentata. Un account di dominio, un account locale con un nome breve simile e un account VPN separato non sono intercambiabili, e l'errore ha senso solo quando si conosce quello esatto.

Il registro di sicurezza annota il tentativo con l'account e il nome della workstation chiamante, ed è proprio quella coppia che viene valutata rispetto alla restrizione:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Il primo comando mostra il guasto e la stringa della workstation ricevuta dal server, il secondo mostra l'elenco consentito sull'account. Confrontare i due invece di presumere che il nome del computer del client sia quello registrato dal server. Un nome che nel registro sembra sbagliato è di solito il dato utile, perché nomina la macchina con cui il server crede davvero di parlare. È su quella convinzione che la restrizione viene verificata.

Non aggiungere il nome del gateway VPN solo perché il traffico lo attraversa. Il gateway non è il chiamante autenticato, e aggiungerlo all'elenco non cambia nulla mentre rende l'account più difficile da revisionare.

Correggere la restrizione nell'ambito più piccolo

Se la macchina deve essere consentita, aggiungere esattamente quella voce all'elenco delle workstation dell'account e lasciare tutto il resto com'è. Se non deve, la risposta corretta è una macchina approvata invece di rimuovere la restrizione, perché la restrizione esiste per limitare dove quelle credenziali possono essere usate.

Le modifiche massive sono comuni qui e di solito sbagliate. Un account con un lungo elenco di macchine consentite è un account la cui restrizione ha smesso di significare qualcosa.

Aiuta anche sapere se l'identità è condivisa. Quando più persone usano un account di servizio da più portatili, l'elenco delle workstation cresce finché la policy diventa priva di senso, il che è un problema di progettazione e non amministrativo.

Leggere il risultato successivo, non la sua assenza

Dopo una modifica approvata, fare una nuova richiesta con l'account previsto e annotare che cosa succede. Un errore diverso è un progresso, perché nomina la fase successiva invece di ripetere la precedente.

Un percorso DFS può introdurre più server e più decisioni di accesso. Ripulire un attributo dell'account ne risolve una. Le destinazioni di riferimento devono essere ancora raggiungibili, e le autorizzazioni di condivisione e di file system su ciascuna devono ancora ammettere l'account. Affrontare l'errore successivo allo stesso modo invece di presumere che la prima correzione li abbia coperti tutti.

Non c'è motivo di ricostruire il profilo VPN o reimpostare la password mentre Windows segnala una restrizione della workstation. L'elenco degli errori di rete di Microsoft vale la pena tenerlo aperto proprio per questo: il codice dice quale attributo ispezionare prima di toccare qualsiasi cosa.