SMB 2240 per VPN: patikrinkite prisijungimo darbo stočių sąrašą

Atidarius bendrą aplanką per tunelį grąžinama klaida 2240, o pirmoji mintis – žiūrėti maršrutizavimą. Skaičius yra konkretesnis už tai. Windows praneša, kad paskyra gali negalėti prisijungti iš šios darbo stoties, o tai yra politinis teiginys apie vieną paskyrą, o ne teiginys apie pasiekiamumą.

Laikykite klaidos numerį biliete. Jis susiaurina tyrimą iki vieno atributo ir vieno įvykio.

Ką 2240 iš tikrųjų reiškia

Tinklo valdymo klaidų sąrašas 2240 nurodo kaip NERR_InvalidWorkstation, o šį pavadinimą verta skaityti pažodžiui. Paskyra apribota leidžiamų prisijungimo kompiuterių rinkiniu, o mašina, kuri pateikia kredencialus, į jį nepatenka. Šiame apibrėžime neminimas tunelis, failų bendrinimas ar slaptažodis. Atributas yra paskyroje ir įvertinamas bandant prisijungti.

Kiti tos pačios šeimos numeriai reiškia ką kita. Leidžiamų prisijungimo valandų pažeidimas yra kitas kodas, kaip ir neteisingas slaptažodis. Pranešti apie juos visus kaip apie prieigos problemą – švaistyti tą tikslumą, kurį ką tik suteikė operacinė sistema.

Apribojimas gyvena paskyroje, todėl jis seka tapatybę visur, kur ji autentifikuojama. Naudotojas, kuris kasdien dirba biure ir namo neša nešiojamąjį kompiuterį, su juo susiduria tik tada, kai pasikeičia mašinos pavadinimas, ir todėl gedimas mėnesius gali atrodyti kaip VPN problema, kol kas nors atpažįsta dėsningumą.

Du susiję faktai to nepaaiškina. NAT įrenginys gali pakeisti stebimą šaltinio adresą neliesdamas paskyros atributo, o DNS priesagos pakeitimas gali pataisyti trumpą vardą, palikdamas prisijungimo apribojimą tiksliai ten, kur jis buvo. Abu verta atmesti, ir nė vienas nepakeičia atributo skaitymo.

Pirmiausia perskaitykite nepavykusio prisijungimo įrašą

Nustatykite, kokią tapatybę autentifikavo failų serveris ir kuri mašina ją pateikė. Domeno paskyra, vietinė paskyra su panašiu trumpu vardu ir atskira VPN paskyra nėra keičiamos, o klaida turi prasmę tik tada, kai žinoma tiksli.

Saugumo žurnalas įrašo bandymą su paskyra ir skambinančios darbo stoties pavadinimu, ir būtent ši pora tikrinama pagal apribojimą:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Pirmoji komanda parodo gedimą ir darbo stoties eilutę, kurią gavo serveris, o antroji – leidžiamą sąrašą paskyroje. Palyginkite abu, o ne manykite, kad kliento kompiuterio pavadinimas yra tai, ką užfiksavo serveris. Žurnale neteisingai atrodantis pavadinimas paprastai yra naudingas radinys, nes jis įvardija mašiną, su kuria serveris tikrai mano kalbantis. Būtent šiuo įsitikinimu yra tikrinamas apribojimas.

Nepridėkite VPN tinklų sietuvo pavadinimo dėl to, kad srautas eina per jį. Sietuvas nėra autentifikuotas skambintojas, o jo pridėjimas prie sąrašo nieko nekeičia, tik apsunkina paskyros peržiūrą.

Ištaisykite apribojimą mažiausiu mastu

Jei mašinai turėtų būti leidžiama, pridėkite būtent tą įrašą į paskyros darbo stočių sąrašą ir palikite visa kita taip, kaip yra. Jei ne, teisingas atsakymas yra patvirtinta mašina, o ne apribojimo pašalinimas, nes apribojimas egzistuoja tam, kad apribotų, kur tuos kredencialus galima naudoti.

Masiniai pakeitimai čia įprasti ir paprastai neteisingi. Paskyra su ilgu leidžiamų mašinų sąrašu yra paskyra, kurios apribojimas nustojo ką nors reikšti.

Naudinga žinoti ir tai, ar tapatybė bendrinama. Kai keli žmonės naudoja vieną paslaugos paskyrą iš kelių nešiojamųjų kompiuterių, darbo stočių sąrašas auga, kol politika tampa beprasmė, o tai yra dizaino, o ne administravimo problema.

Skaitykite kitą rezultatą, o ne jo nebuvimą

Po patvirtinto pakeitimo pateikite naują užklausą numatyta paskyra ir užsirašykite, kas įvyksta. Kita klaida yra pažanga, nes ji įvardija kitą etapą, o ne kartoja ankstesnį.

DFS kelias gali įtraukti kelis serverius ir kelis prieigos sprendimus. Vieno paskyros atributo išvalymas išsprendžia vieną iš jų. Nukreipimo tikslai vis dar turi būti pasiekiami, o bendrinimo ir failų sistemos teisės kiekviename iš jų vis dar turi priimti paskyrą. Su kita klaida elkitės taip pat, o ne manykite, kad pirmasis pataisymas apėmė visus.

Nėra priežasties atkurti VPN profilį ar iš naujo nustatyti slaptažodį, kol Windows praneša apie darbo stoties apribojimą. Microsoft tinklo klaidų sąrašą verta laikyti atidarytą būtent dėl šios priežasties: kodas pasako, kurį atributą patikrinti prieš ką nors liečiant.