SMB 2240 VPN арқылы: кіру жұмыс станцияларының тізімін тексеріңіз

Туннель арқылы ортақ қалтаны ашу 2240 қатесін қайтарады, ал бірінші ой маршруттауды қарау. Сан одан нақтырақ. Windows аккаунт осы жұмыс станциясынан кіре алмауы мүмкін екенін хабарлайды, бұл бір аккаунт туралы саясаттық мәлімдеме, қолжетімділік туралы мәлімдеме емес.

Қате нөмірін тикетте сақтаңыз. Ол тергеуді бір атрибут пен бір оқиғаға тарылтады.

2240 шын мәнінде нені білдіреді

Желілік басқару қателерінің тізімі 2240 кодын NERR_InvalidWorkstation деп анықтайды, бұл атауды сөзбе-сөз оқыған жөн. Аккаунт рұқсат етілген кіру компьютерлерінің жиынымен шектелген, ал тіркелгі деректерін ұсынып отырған машина олардың қатарында жоқ. Бұл анықтамада туннель, файл алмасу немесе құпиясөз аталмайды. Атрибут аккаунтта тұрады және кіру әрекеті кезінде бағаланады.

Сол отбасындағы басқа сандар басқа нәрсені білдіреді. Рұқсат етілген кіру сағаттарын бұзу басқа код, қате құпиясөз де солай. Олардың барлығын қолжетімділік мәселесі ретінде хабарлау операциялық жүйе жаңа ғана берген нақтылықты ысырап етеді.

Шектеу аккаунтта өмір сүреді, сондықтан ол тұлғаны қайда аутентификацияланса да ұстанады. Күнде кеңседе жұмыс істеп, ноутбукті үйге алып кететін пайдаланушы оған машинаның аты өзгергенде ғана тап болады, сондықтан ақау айлар бойы VPN мәселесіндей көрінуі мүмкін, біреу үлгіні танығанша.

Екі байланысты факт оны түсіндірмейді. NAT құрылғысы аккаунт атрибутына тимей-ақ байқалатын көз мекенжайын өзгерте алады, ал DNS жұрнағын өзгерту қысқа атауды түзетіп, кіру шектеуін дәл қалдырған жерінде қалдырады. Екеуін де жоққа шығарған жөн, және ешқайсысы атрибутты оқуды алмастырмайды.

Алдымен сәтсіз кіру жазбасын оқыңыз

Файлдық сервер қай тұлғаны аутентификациялағанын және оны қай машина ұсынғанын анықтаңыз. Домен аккаунты, ұқсас қысқа атаулы жергілікті аккаунт және бөлек VPN аккаунты бірін-бірі алмастырмайды, ал қате нақтысы белгілі болғанда ғана мағыналы.

Қауіпсіздік журналы әрекетті аккаунтпен және шақырушы жұмыс станциясының атымен жазады, ал шектеу дәл осы жұпқа қатысты бағаланады:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Бірінші команда ақауды және сервер алған жұмыс станциясының жолын көрсетеді, екіншісі аккаунттағы рұқсат етілген тізімді көрсетеді. Клиенттің өз компьютерінің атын сервер жазған атау деп болжаудың орнына екеуін салыстырыңыз. Журналда қате көрінген ат әдетте пайдалы табылым болады, өйткені ол сервер шынымен сөйлесіп жатыр деп есептейтін машинаны атайды. Шектеу дәл осы сенімге қарсы тексеріледі.

VPN шлюзінің атын қоспаңыз, өйткені трафик одан өтеді. Шлюз аутентификацияланған шақырушы емес, оны тізімге қосу ештеңені өзгертпейді, бірақ аккаунтты тексеруді қиындатады.

Шектеуді ең кіші ауқымда түзетіңіз

Егер машинаға рұқсат беру керек болса, дәл сол жазбаны аккаунттың жұмыс станциялары тізіміне қосып, қалғанын сол қалпында қалдырыңыз. Егер жоқ болса, дұрыс жауап — шектеуді алып тастау емес, мақұлданған машина, өйткені шектеу осы тіркелгі деректерін қайда пайдалануға болатынын шектеу үшін бар.

Жаппай өңдеу мұнда жиі кездеседі және әдетте қате. Рұқсат етілген машиналардың ұзын тізімі бар аккаунт — шектеуі енді ештеңе білдірмейтін аккаунт.

Тұлғаның ортақ екенін білу де пайдалы. Бірнеше адам бір қызмет аккаунтын бірнеше ноутбуктен пайдаланса, жұмыс станцияларының тізімі саясат мағынасыз болғанша өседі, бұл дизайн мәселесі, әкімшілік емес.

Келесі нәтижені оқыңыз, оның жоқтығын емес

Мақұлданған өзгерістен кейін көзделген аккаунтпен жаңа сұраныс жасап, не болатынын жазып алыңыз. Басқа қате — ілгерілеу, өйткені ол алдыңғыны қайталаудың орнына келесі кезеңді атайды.

DFS жолы бірнеше сервер мен бірнеше қолжетімділік шешімін әкелуі мүмкін. Бір аккаунт атрибутын тазарту солардың біреуін шешеді. Қайта бағыттау мақсаттары әлі де қолжетімді болуы керек, және олардың әрқайсысындағы ортақ пайдалану мен файлдық жүйе рұқсаттары әлі де аккаунтты жіберуі керек. Келесі қатені де дәл осылай өткізіңіз, бірінші түзету бәрін жапты деп болжамаңыз.

Windows жұмыс станциясының шектеуі туралы хабарлап тұрғанда VPN профилін қайта құруға немесе құпиясөзді қалпына келтіруге ешбір себеп жоқ. Microsoft-тың желілік қателер тізімі дәл осы себеппен ашық тұруға тұрарлық: код бірдеңеге тиіспес бұрын қай атрибутты тексеру керектігін айтады.