SMB 2240 VPN-ით: შეამოწმეთ შესვლის სამუშაო სადგურების სია

გვირაბის გავლით საზიარო რესურსის გახსნა აბრუნებს შეცდომა 2240-ს, და პირველი ინსტინქტი მარშრუტიზაციის ნახვაა. რიცხვი ამაზე უფრო კონკრეტულია. Windows აცხადებს, რომ ანგარიშმა შეიძლება ვერ შეძლოს შესვლა ამ სამუშაო სადგურიდან, რაც ერთი ანგარიშის შესახებ პოლიტიკის განაცხადია და არა ხელმისაწვდომობის შესახებ განაცხადი.

შეინახეთ შეცდომის ნომერი ბილეთში. ის კვლევას ერთ ატრიბუტსა და ერთ მოვლენაზე ამცირებს.

რას ნიშნავს 2240 სინამდვილეში

ქსელის მართვის შეცდომების სია 2240-ს NERR_InvalidWorkstation-ად განსაზღვრავს, სახელი, რომელიც პირდაპირი მნიშვნელობით უნდა წაიკითხოს. ანგარიში შემოიფარგლება დაშვებული შესვლის კომპიუტერების სიმრავლით, და მანქანა, რომელიც წარმოადგენს სერტიფიკატებს, მათ შორის არ არის. ამ განსაზღვრებაში არაფერი ახსენებს გვირაბს, ფაილის გაზიარებას ან პაროლს. ატრიბუტი ანგარიშზე ზის და ფასდება შესვლის მცდელობისას.

იმავე ოჯახის სხვა ნომრები სხვას ნიშნავს. დაშვებული შესვლის საათების დარღვევა სხვა კოდია, ისევე როგორც არასწორი პაროლი. ყველა მათგანის შესახებ შეტყობინება როგორც წვდომის პრობლემისა ხარჯავს იმ სიზუსტეს, რომელიც ოპერაციულმა სისტემამ ახლახან მოგვცა.

შეზღუდვა ანგარიშზე ცხოვრობს, ამიტომ ის მიჰყვება იდენტობას ყველგან, სადაც ის ავთენტიფიცირდება. მომხმარებელი, რომელიც ყოველდღე ოფისში მუშაობს და ლეპტოპს სახლში თან მიაქვს, მას ხვდება მხოლოდ მაშინ, როცა მანქანის სახელი იცვლება, და სწორედ ამიტომ ხარვეზი შეიძლება თვეების განმავლობაში VPN-ის პრობლემად გამოიყურებოდეს, სანამ ვინმე ნიმუშს ამოიცნობს.

ორი დაკავშირებული ფაქტი ამას არ ხსნის. NAT მოწყობილობას შეუძლია შეცვალოს დაკვირვებული წყაროს მისამართი ანგარიშის ატრიბუტზე ხელის შეუხებლად, და DNS სუფიქსის ცვლილება შეიძლება გამოასწოროს მოკლე სახელი, ხოლო შესვლის შეზღუდვა ზუსტად იქ დატოვოს, სადაც იყო. ორივე გამოსარიცხია და არც ერთი არ ცვლის ატრიბუტის წაკითხვას.

ჯერ წაიკითხეთ წარუმატებელი შესვლის ჩანაწერი

დაადგინეთ, რომელი იდენტობა ავთენტიფიცირდა ფაილური სერვერის მიერ და რომელმა მანქანამ წარმოადგინა ის. დომენის ანგარიში, მსგავსი მოკლე სახელის ლოკალური ანგარიში და ცალკე VPN ანგარიში ურთიერთშემცვლელი არ არის, და შეცდომას აზრი მხოლოდ მაშინ აქვს, როცა ზუსტი ცნობილია.

უსაფრთხოების ჟურნალი აღრიცხავს მცდელობას ანგარიშთან და გამომძახებელი სამუშაო სადგურის სახელთან ერთად, და შეზღუდვა სწორედ ამ წყვილის მიმართ ფასდება:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

პირველი ბრძანება აჩვენებს ხარვეზს და სამუშაო სადგურის სტრიქონს, რომელიც სერვერმა მიიღო, ხოლო მეორე აჩვენებს დაშვებულ სიას ანგარიშზე. შეადარეთ ორივე იმის ნაცვლად, რომ ჩათვალოთ კლიენტის საკუთარი კომპიუტერის სახელი სერვერის მიერ ჩაწერილ სახელად. ჟურნალში არასწორად მოჩვენებული სახელი ჩვეულებრივ სასარგებლო აღმოჩენაა, რადგან ის ასახელებს მანქანას, რომელთანაც სერვერი ნამდვილად ფიქრობს, რომ საუბრობს. სწორედ ამ რწმენის მიმართ მოწმდება შეზღუდვა.

არ დაამატოთ VPN კარიბჭის სახელი იმიტომ, რომ ტრაფიკი მასში გადის. კარიბჭე არ არის ავთენტიფიცირებული გამომძახებელი, და მისი სიაში დამატება არაფერს ცვლის, თან ანგარიშის გადახედვას ართულებს.

შეასწორეთ შეზღუდვა უმცირესი მოცულობით

თუ მანქანას უნდა მიეცეს ნებართვა, დაამატეთ ზუსტად ის ჩანაწერი ანგარიშის სამუშაო სადგურების სიაში და დანარჩენი ყველაფერი ისე დატოვეთ. თუ არა, სწორი პასუხია დამტკიცებული მანქანა და არა შეზღუდვის მოხსნა, რადგან შეზღუდვა არსებობს იმისთვის, რომ შეზღუდოს, სად შეიძლება ამ სერტიფიკატების გამოყენება.

ნაყარი ცვლილებები აქ გავრცელებულია და ჩვეულებრივ არასწორი. ანგარიში დაშვებული მანქანების გრძელი სიით არის ანგარიში, რომლის შეზღუდვამ აზრი დაკარგა.

ასევე სასარგებლოა იცოდეთ, გაზიარებულია თუ არა იდენტობა. როცა რამდენიმე ადამიანი იყენებს ერთ სერვისულ ანგარიშს რამდენიმე ლეპტოპიდან, სამუშაო სადგურების სია იზრდება მანამ, სანამ პოლიტიკა უაზრო გახდება, რაც დიზაინის პრობლემაა და არა ადმინისტრაციული.

წაიკითხეთ შემდეგი შედეგი და არა მისი არარსებობა

დამტკიცებული ცვლილების შემდეგ გააკეთეთ ახალი მოთხოვნა განზრახული ანგარიშით და ჩაწერეთ რა ხდება. სხვა შეცდომა პროგრესია, რადგან ის ასახელებს შემდეგ ეტაპს წინას გამეორების ნაცვლად.

DFS გზამ შეიძლება შემოიტანოს რამდენიმე სერვერი და რამდენიმე წვდომის გადაწყვეტილება. ანგარიშის ერთი ატრიბუტის გასუფთავება წყვეტს ერთ მათგანს. გადამისამართების სამიზნეები ჯერ კიდევ ხელმისაწვდომი უნდა იყოს, და თითოეულ მათგანზე გაზიარების და ფაილური სისტემის ნებართვები ჯერ კიდევ უნდა უშვებდეს ანგარიშს. გაიარეთ შემდეგი შეცდომაც იმავე გზით, იმის ნაცვლად, რომ ჩათვალოთ პირველმა შესწორებამ ყველა დაფარა.

არავითარი მიზეზი არ არსებობს VPN პროფილის ხელახლა ასაგებად ან პაროლის აღსადგენად, სანამ Windows აცხადებს სამუშაო სადგურის შეზღუდვას. Microsoft-ის ქსელური შეცდომების სია ღიად უნდა შეინახოთ სწორედ ამ მიზეზით: კოდი გეუბნებათ, რომელი ატრიბუტი შეამოწმოთ, სანამ რამეს შეეხებით.