SMB 2240 と VPN：ログオン ワークステーション リストを確認する

トンネル越しに共有を開くとエラー 2240 が返り、最初の発想はルーティングを見ることです。番号はそれより具体的です。Windows はこのワークステーションからアカウントがログオンできない可能性があると報告しており、これは到達性ではなく一つのアカウントに関するポリシーの表明です。

エラー番号をチケットに残してください。調査の範囲を一つの属性と一つのイベントに絞り込みます。

2240 が実際に示すもの

ネットワーク管理エラーの一覧は 2240 を NERR_InvalidWorkstation として識別しており、この名前は文字どおり読む価値があります。アカウントは許可されたログオン コンピューターの集合に制限されており、資格情報を提示しているマシンはそこに含まれていません。この定義にはトンネル、ファイル共有、パスワードのいずれも出てきません。属性はアカウント上にあり、ログオンを試みたときに評価されます。

同じ一族の別の番号は別の意味を持ちます。許可されたログオン時間の違反は別のコードで、誤ったパスワードも同様です。それらをすべてアクセスの問題として報告すると、オペレーティング システムが今示した具体性を無駄にします。

制限はアカウント上にあるため、認証が行われるあらゆる場所で ID に付き従います。毎日オフィスで働きノート PC を自宅に持ち帰る利用者がこれに出会うのはマシン名が変わったときだけで、だからこそ誰かがパターンに気づくまで何か月も VPN の問題のように見えるのです。

関連する二つの事実では説明できません。NAT 装置はアカウントの属性に触れずに観測される送信元アドレスを変えられますし、DNS サフィックスの変更は短い名前を直しつつログオン制限をまったく同じ場所に残します。どちらも除外する価値があり、どちらも属性を読むことの代わりにはなりません。

まず失敗したログオンの記録を読む

ファイル サーバーがどの ID を認証し、どのマシンがそれを提示したのかを特定します。ドメイン アカウント、似た短い名前のローカル アカウント、別個の VPN アカウントは互換ではなく、正確にどれかが分かって初めてエラーは意味を持ちます。

セキュリティ ログには、アカウントと発信元ワークステーション名を伴って試行が記録され、制限はまさにその組に対して評価されます：

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

最初のコマンドは失敗とサーバーが受け取ったワークステーション文字列を示し、二番目はアカウント上の許可リストを示します。クライアント自身のコンピューター名がサーバーの記録した名前だと決めつけずに、両者を比較してください。ログで誤って見える名前こそ通常は有用な発見で、サーバーが実際に話していると考えているマシンを名指ししています。制限が照合されるのは、まさにこの認識に対してです。

トラフィックが通るからといって VPN ゲートウェイの名前を追加しないでください。ゲートウェイは認証された呼び出し元ではなく、リストに加えても何も変わらず、アカウントの見直しが難しくなるだけです。

制限は最小の範囲で修正する

そのマシンを許可すべきなら、そのエントリだけをアカウントのワークステーション リストに追加し、ほかはそのままにします。許可すべきでないなら、正解は制限を外すことではなく、その資格情報を使える場所を限定するために存在する制限を維持したまま承認済みのマシンを使うことです。

一括編集はここではよく行われ、たいてい誤りです。許可されたマシンのリストが長いアカウントは、制限が意味を失ったアカウントです。

ID が共有されているかどうかを知ることも助けになります。複数の人が複数のノート PC から一つのサービス アカウントを使うと、ポリシーが無意味になるまでワークステーション リストが増え続けますが、これは設計の問題であり運用の問題ではありません。

次の結果を読み、結果がないことを読むのではない

承認された変更の後、意図したアカウントで新しい要求を行い、何が起きるかを記録します。別のエラーは進展であり、前の段階を繰り返すのではなく次の段階を示しているからです。

DFS パスは複数のサーバーと複数のアクセス判断を招き入れます。アカウントの属性を一つ片づけても、そのうちの一つが解決するだけです。参照先のターゲットは引き続き到達可能でなければならず、それぞれの共有とファイルシステムのアクセス許可は引き続きアカウントを許可しなければなりません。最初の修正ですべて済んだと決めつけず、次のエラーも同じやり方で進めてください。

Windows がワークステーション制限を報告している間に VPN プロファイルを作り直したりパスワードをリセットしたりする理由はありません。Microsoft の ネットワーク エラー一覧 は、何かに触れる前にどの属性を調べるべきかをコードが教えてくれるという、まさにこの理由で開いておく価値があります。