SMB 2240 VPN аркылуу: кирүү жумуш станцияларынын тизмесин текшериңиз

Туннел аркылуу бөлүшүлгөн ресурсту ачуу 2240 катасын кайтарат, ал эми биринчи ой маршруттоону кароо. Сан андан так. Windows аккаунт бул жумуш станциясынан кире албашы мүмкүн деп билдирет, бул бир аккаунт жөнүндө саясаттык билдирүү, жеткиликтүүлүк жөнүндө билдирүү эмес.

Катанын номерин тикетте сактаңыз. Ал иликтөөнү бир атрибут жана бир окуя менен чектейт.

2240 чындыгында эмнени билдирет

Тармакты башкаруу каталарынын тизмеси 2240 кодун NERR_InvalidWorkstation деп аныктайт, бул атты сөзмө-сөз окуган жөн. Аккаунт уруксат берилген кирүү компьютерлеринин топтому менен чектелген, ал эми ыйгарым укуктарды сунуп жаткан машина алардын арасында жок. Бул аныктамада туннел, файл бөлүшүү же сырсөз эскерилбейт. Атрибут аккаунтта турат жана кирүү аракети учурунда бааланат.

Ошол эле үй-бүлөнүн башка сандары башка нерсени билдирет. Уруксат берилген кирүү сааттарын бузуу башка код, туура эмес сырсөз да ошондой. Алардын бардыгын жеткиликтүүлүк көйгөйү деп билдирүү операциялык система жаңы эле берген тактыкты текке кетирет.

Чектөө аккаунтта жашайт, ошондуктан ал инсанды кайда аутентификацияланса да ээрчийт. Күн сайын кеңседе иштеп, ноутбукту үйгө алып кеткен колдонуучу ага машинанын аты өзгөргөндө гана туш болот, ошондуктан бузулуу айлар бою VPN көйгөйүндөй көрүнүшү мүмкүн, бирөө үлгүнү тааныганга чейин.

Эки байланышкан факт аны түшүндүрбөйт. NAT түзмөгү аккаунттун атрибутуна тийбестен байкалган булак дарегин өзгөртө алат, ал эми DNS уландысынын өзгөрүшү кыска атты оңдоп, кирүү чектөөсүн так турган жеринде калтырат. Экөөнү тең жокко чыгарууга татыктуу, жана экөө тең атрибутту окуунун ордун баспайт.

Алгач ийгиликсиз кирүү жазуусун окуңуз

Файлдык сервер кайсы инсанды аутентификациялаганын жана аны кайсы машина сунулаганын аныктаңыз. Домендик аккаунт, окшош кыска аттуу жергиликтүү аккаунт жана өзүнчө VPN аккаунту бири-бирин алмаштырбайт, ал эми ката так ошону билгенде гана мааниге ээ.

Коопсуздук журналы аракетти аккаунт жана чакырган жумуш станциясынын аты менен жазат, жана чектөө так ушул жупка карата бааланат:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Биринчи буйрук бузулушту жана сервер алган жумуш станциясынын сабын көрсөтөт, экинчиси аккаунттагы уруксат берилген тизмени көрсөтөт. Клиенттин өз компьютеринин атын сервер жазган ат деп божомолдоонун ордуна экөөнү салыштырыңыз. Журналда туура эмес көрүнгөн ат адатта пайдалуу табылга болот, анткени ал сервер чындыгында сүйлөшүп жатат деп эсептеген машинаны атайт. Чектөө так ушул ишенимге каршы текшерилет.

VPN дарбазасынын атын кошпоңуз, анткени трафик андан өтөт. Дарбаза аутентификацияланган чакырган тарап эмес, аны тизмеге кошуу эч нерсени өзгөртпөйт, тескерисинче аккаунтту текшерүүнү кыйындатат.

Чектөөнү эң кичине көлөмдө оңдоңуз

Эгер машинага уруксат берилиши керек болсо, так ошол жазууну аккаунттун жумуш станцияларынын тизмесине кошуп, калганын өз ордунда калтырыңыз. Эгер жок болсо, туура жооп чектөөнү алып салуу эмес, бекитилген машина, анткени чектөө ушул ыйгарым укуктарды кайда колдонсо болорун чектөө үчүн бар.

Массалык түзөтүүлөр бул жерде кеңири таралган жана адатта туура эмес. Уруксат берилген машиналардын узун тизмеси бар аккаунт — чектөөсү эми эч нерсени билдирбеген аккаунт.

Инсандын бөлүшүлгөнүн билүү да пайдалуу. Бир нече адам бир кызматтык аккаунтту бир нече ноутбуктен колдонсо, жумуш станцияларынын тизмеси саясат маанисиз болгонго чейин өсөт, бул дизайн маселеси, административдик эмес.

Кийинки натыйжаны окуңуз, анын жоктугун эмес

Бекитилген өзгөртүүдөн кийин көздөлгөн аккаунт менен жаңы сурам жасап, эмне болорун жазып алыңыз. Башка ката — илгерилөө, анткени ал мурункусун кайталоонун ордуна кийинки баскычты атайт.

DFS жолу бир нече серверди жана бир нече кирүү чечимин алып келиши мүмкүн. Бир аккаунт атрибутун тазалоо алардын бирин чечет. Кайра багыттоо максаттары дагы деле жеткиликтүү болушу керек, жана алардын ар бириндеги бөлүшүү жана файлдык система укуктары дагы деле аккаунтту кабыл алышы керек. Кийинки катаны да ушундай жол менен чечиңиз, биринчи түзөтүү баарын жапты деп божомолдобоңуз.

Windows жумуш станциясынын чектөөсү тууралуу билдирип жатканда VPN профилин кайра курууга же сырсөздү кайра коюуга эч кандай себеп жок. Microsoftтун тармактык каталардын тизмеси так ушул себептен ачык турууга татыктуу: код бир нерсеге тийүүдөн мурун кайсы атрибутту текшерүү керектигин айтат.