SMB 2240 VPN 경유: 로그온 워크스테이션 목록 확인

터널을 넘어 공유 폴더를 열면 오류 2240이 반환되며, 첫 반응은 라우팅을 보는 것입니다. 숫자는 그보다 더 구체적입니다. Windows는 이 워크스테이션에서 계정이 로그온하지 못할 수 있다고 보고하는데, 이는 도달 가능성이 아니라 한 계정에 대한 정책 진술입니다.

오류 번호를 티켓에 남겨 두십시오. 조사를 하나의 특성과 하나의 이벤트로 좁혀 줍니다.

2240이 실제로 가리키는 것

네트워크 관리 오류 목록은 2240을 NERR_InvalidWorkstation으로 식별하며, 이 이름은 문자 그대로 읽을 가치가 있습니다. 계정은 허용된 로그온 컴퓨터 집합으로 제한되며, 자격 증명을 제시하는 머신은 그 안에 없습니다. 그 정의에는 터널, 파일 공유, 암호가 언급되지 않습니다. 특성은 계정에 있으며 로그온을 시도할 때 평가됩니다.

같은 계열의 다른 번호는 다른 의미입니다. 허용된 로그온 시간 위반은 다른 코드이고 잘못된 암호도 마찬가지입니다. 이들을 모두 접근 문제로 보고하면 운영 체제가 방금 준 구체성을 낭비합니다.

제한은 계정에 살기 때문에 인증이 이루어지는 모든 곳에서 ID를 따라갑니다. 매일 사무실에서 일하고 노트북을 집에 가져가는 사용자는 머신 이름이 바뀔 때만 이 제한을 만나며, 그래서 누군가 패턴을 알아차리기 전까지 몇 달 동안 VPN 문제처럼 보일 수 있습니다.

관련된 두 사실로는 설명되지 않습니다. NAT 장치는 계정 특성을 건드리지 않고 관측된 원본 주소를 바꿀 수 있고, DNS 접미사 변경은 짧은 이름을 고치면서 로그온 제한을 있던 자리에 그대로 둘 수 있습니다. 둘 다 배제할 가치가 있으며 어느 것도 특성을 읽는 일을 대신하지 못합니다.

먼저 실패한 로그온 기록을 읽으십시오

파일 서버가 어느 ID를 인증했고 어느 머신이 그것을 제시했는지 확인하십시오. 도메인 계정, 비슷한 짧은 이름의 로컬 계정, 별도의 VPN 계정은 서로 바꿀 수 없으며, 정확히 어느 것인지 알아야 오류가 의미를 갖습니다.

보안 로그는 계정과 호출 워크스테이션 이름과 함께 시도를 기록하며, 제한은 바로 그 쌍에 대해 평가됩니다:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

첫 명령은 실패와 서버가 받은 워크스테이션 문자열을 보여 주고, 두 번째는 계정의 허용 목록을 보여 줍니다. 클라이언트 자신의 컴퓨터 이름이 서버가 기록한 것이라고 가정하지 말고 둘을 비교하십시오. 로그에서 잘못 보이는 이름이 보통 유용한 발견인데, 서버가 실제로 대화하고 있다고 믿는 머신을 지목하기 때문입니다. 제한은 바로 그 믿음에 대해 검사됩니다.

트래픽이 지나간다고 해서 VPN 게이트웨이 이름을 추가하지 마십시오. 게이트웨이는 인증된 호출자가 아니며, 목록에 추가해도 아무것도 바뀌지 않고 계정 검토만 어려워집니다.

가장 작은 범위에서 제한을 고치십시오

머신을 허용해야 한다면 바로 그 항목을 계정의 워크스테이션 목록에 추가하고 나머지는 그대로 두십시오. 허용하지 않아야 한다면 정답은 제한을 없애는 것이 아니라, 그 자격 증명을 어디에서 쓸 수 있는지 제한하려는 제한을 유지한 채 승인된 머신을 쓰는 것입니다.

대량 편집은 여기서 흔하고 대개 틀립니다. 허용된 머신 목록이 긴 계정은 제한이 이미 아무 의미도 없는 계정입니다.

ID가 공유되는지 아는 것도 도움이 됩니다. 여러 사람이 여러 노트북에서 하나의 서비스 계정을 쓰면 정책이 무의미해질 때까지 워크스테이션 목록이 늘어나며, 이는 설계 문제이지 관리 문제가 아닙니다.

다음 결과를 읽고, 결과가 없는 것을 읽지 마십시오

승인된 변경 후 의도한 계정으로 새 요청을 하고 무슨 일이 일어나는지 기록하십시오. 다른 오류는 이전 단계를 반복하는 대신 다음 단계를 지목하므로 진전입니다.

DFS 경로는 여러 서버와 여러 접근 결정을 끌어들일 수 있습니다. 계정 특성 하나를 정리하면 그중 하나가 해결됩니다. 참조 대상은 여전히 도달 가능해야 하고, 각 대상의 공유 및 파일 시스템 권한은 여전히 계정을 허용해야 합니다. 첫 수정이 모두를 덮었다고 가정하지 말고 다음 오류도 같은 방식으로 처리하십시오.

Windows가 워크스테이션 제한을 보고하는 동안 VPN 프로필을 다시 만들거나 암호를 재설정할 이유가 없습니다. Microsoft의 네트워크 오류 목록 은 무엇이든 건드리기 전에 어떤 특성을 검사해야 하는지 코드가 알려 주기 때문에 바로 이 이유로 열어 둘 가치가 있습니다.