SMB 2240 iwwer VPN: d'Lëscht vun den Umell-Aarbechtsstatiounen iwwerpréiwen

Eng Deelung iwwer den Tunnel opmaache gëtt de Feeler 2240 zréck, an den éischten Instinkt ass, d'Routung ze kucken. D'Zuel ass méi spezifesch wéi dat. Windows mellt, datt de Kont sech vläicht net vun dëser Aarbechtsstatioun aus umelle kann, wat eng Ausso iwwer d'Politik vun engem Kont ass an net eng Ausso iwwer d'Erreechbarkeet.

Behält d'Feelerzuel am Ticket. Si enkelt d'Enquête op een Attribut an een Evenement an.

Wat 2240 tatsächlech bezeechent

D'Lëscht vun de Netzwierkverwaltungsfeeler identifizéiert 2240 als NERR_InvalidWorkstation, en Numm, deen een zum Wiert huelen soll. De Kont ass op eng Rei erlaabten Umellcomputeren ageschränkt, an de Rechner, deen d'Berechtegungsnoweisen afflitt, ass net dobäi. Nichts an där Definitioun ernimmt den Tunnel, d'Dateipublikatioun oder d'Passwuert. D'Attribut sëtzt um Kont a gëtt ausgewäert, wa probéiert gëtt, sech umellen ze loossen.

Aner Zuelen aus derselwechter Famill bedeiten eppes anescht. D'Iwwerschreide vun den erlaabten Umellstonnen ass en anere Code, an e falscht Passwuert och. Si all als Zougriffsproblem ze mellen, verschwësst d'Präzisioun, déi d'Betribssystem just geliwwert huet.

D'Astellungslimit wunnt um Kont, also follegt et der Identitéit iwwerall, wou se sech authentifizéiert. De Benotzer, deen all Dag am Büro schafft an e Laptop mat heem hëlt, stéisst drop nëmmen, wann de Maschinnennumm sech ännert, an dofir kann de Feeler monelaang wéi e VPN-Problem ausgesinn, bis een d'Muster erkennt.

Zwou verwandte Fakten erklären et net. En NAT-Apparat kann d'observéiert Quelladress änneren, ouni dem Kont säin Attribut ze beréieren, an eng Ännerung vum DNS-Suffix kann e kuerzen Numm reparéieren, während d'Umellbeschränkung genee do bleift, wou se war. Béides ass et wäert, auszeschléissen, an keent vun deenen zwou ersetzt d'Liesesch vum Attribut.

Liest als éischt den Datensaz vun der feelgeschloener Umeldung

Stellt fest, wéi eng Identitéit den Dateiserver authentifizéiert huet a wéi eng Maschinn se virgeluecht huet. E Domainkonto, e lokale Kont mat engem ähnlechen kuerzen Numm an e separaten VPN-Konto sinn net ëmwiesselbar, an de Feeler ergëtt nëmmen Sënn, wann dee genee bekannt ass.

D'Sécherheetsprotokoll verzeichnet den Versuch mam Kont an dem Numm vun der ugeruffener Aarbechtsstatioun, an et ass genee dës Puer, géint dat d'Astellungslimit gepréift gëtt:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Den éischte Befehl weist de Feeler an d'Aarbechtsstatiounszeechenketten, déi de Server kritt huet, den zweeten déi erlaabt Lëscht um Kont. Vergläicht déi zwou, amplaz unzehuelen, de Computernumm vum Client wier dat, wat de Server opgezeechent huet. En Numm, deen am Protokoll falsch ausgesäit, ass meeschtens de nëtzlechen Erkenntnes, well en de Rechner bezeechent, mat deem de Server wierklech mengt ze schwätzen. Et ass dës Iwwerzeegung, géint déi d'Limite gepréift gëtt.

Setzt den Numm vum VPN-Gateway net derbäi, just well den Trafik duerch et geet. De Gateway ass net den authentifizéierten Uruffer, an en der Lëscht bäizesetzen ännert näischt, mee et mécht de Kont schwéier z'iwwerpréiwen.

Korrigéiert d'Limit am klengsten Ëmfang

Wann de Rechner soll erlaabt ginn, setzt genee deen Entrée an d'Lëscht vun den Aarbechtsstatioune vum Kont an loosst alles anescht wéi et ass. Wann net, ass déi richteg Äntwert eng geneemegten Maschinn amplaz d'Limit ewechzehuelen, well d'Limit do ass, fir ze begrenzen, wou déi Berechtegungsnoweisen däerfe benotzt ginn.

Massenaarbechte si hei üblech an normalerweis falsch. E Kont mat enger laanger Lëscht vun erlaabte Maschinne ass e Kont, deem seng Limit opgehalen huet, eppes ze bedeiten.

Et hëlleft och ze wëssen, ob d'Identitéit gedeelt ass. Wann e puer Leit ee Servicekonto vun e puer Laptoppen aus benotzen, wiisst d'Lëscht vun den Aarbechtsstatiounen, bis d'Politik sënnlos gëtt, wat e Designproblem ass an keen administrativen.

Liest dat nächst Resultat, net seng Absenz

No enger geneemegter Ännerung maacht eng nei Ufro mam virgesinnene Kont a schreift op, wat geschitt. En anere Feeler ass Fortschrëtt, well en déi nächst Etapp bezeechent, amplaz déi lescht ze widderhuelen.

En DFS-Wee kann e puer Server an e puer Zougriffsentscheedungen aféieren. Een Kontattribut botzen entscheet ee vun hinnen. D'Referenzziler mussen nach ëmmer erreechbar sinn, an d'Deelungs- a Dateisystemrechter op jiddwerengem vun hinnen mussen de Kont nach ëmmer zouloossen. Schafft de nächsten Feeler op déi selwecht Manéier duerch, amplaz unzehuelen, déi éischt Korrektur hätt se all ofgedeckt.

Et gëtt kee Grond, de VPN-Profil frësch opzebauen oder d'Passwuert zréckzesetzen, während Windows eng Aschränkung vun der Aarbechtsstatioun mellt. Dem Microsoft seng Lëscht vun de Netzwierkfeeler ass et wäert, genee aus dësem Grond opzehalen: de Code seet Iech, wéi en Attribut Dir musst nokucken, ier Dir eppes beréiert.