SMB 2240 caur VPN: pārbaudiet pieteikšanās darbstaciju sarakstu

Atverot koplietojumu caur tuneli, tiek atgriezta kļūda 2240, un pirmā doma ir paskatīties uz maršrutēšanu. Skaitlis ir konkrētāks par to. Windows ziņo, ka konts, iespējams, nevarēs pieteikties no šīs darbstacijas, kas ir politikas apgalvojums par vienu kontu, nevis apgalvojums par sasniedzamību.

Saglabājiet kļūdas numuru biļetē. Tas sašaurina izmeklēšanu līdz vienam atribūtam un vienam notikumam.

Ko 2240 patiešām apzīmē

Tīkla pārvaldības kļūdu saraksts 2240 identificē kā NERR_InvalidWorkstation, un šis nosaukums ir jālasa burtiski. Konts ir ierobežots ar atļauto pieteikšanās datoru kopu, un mašīna, kas uzrāda akreditācijas datus, tajā neietilpst. Šajā definīcijā nekas nemin tuneli, failu koplietojumu vai paroli. Atribūts atrodas uz konta un tiek novērtēts, kad tiek mēģināts pieteikties.

Citi šīs pašas saimes skaitļi nozīmē ko citu. Atļauto pieteikšanās stundu pārkāpums ir cits kods, tāpat arī nepareiza parole. Ziņot par visiem kā par piekļuves problēmu nozīmē izšķiest to precizitāti, ko operētājsistēma tikko sniedza.

Ierobežojums dzīvo uz konta, tāpēc tas seko identitātei visur, kur tā autentificējas. Lietotājs, kurš katru dienu strādā birojā un ņem klēpjdatoru līdzi uz mājām, ar to saskaras tikai tad, kad mainās mašīnas nosaukums, un tāpēc kļūme mēnešiem var izskatīties kā VPN problēma, līdz kāds atpazīst modeli.

Divi saistīti fakti to neizskaidro. NAT ierīce var mainīt novēroto avota adresi, neaizskarot konta atribūtu, un DNS sufiksa maiņa var salabot īsu nosaukumu, vienlaikus atstājot pieteikšanās ierobežojumu tieši tur, kur tas bija. Abus ir vērts izslēgt, un neviens no tiem neaizstāj atribūta lasīšanu.

Vispirms izlasiet neveiksmīgās pieteikšanās ierakstu

Noskaidrojiet, kādu identitāti failu serveris autentificēja un kura mašīna to uzrādīja. Domēna konts, vietējais konts ar līdzīgu īsu nosaukumu un atsevišķs VPN konts nav savstarpēji aizstājami, un kļūdai ir jēga tikai tad, kad ir zināms precīzais.

Drošības žurnāls reģistrē mēģinājumu ar kontu un zvanītājas darbstacijas nosaukumu, un tieši šis pāris tiek pārbaudīts pret ierobežojumu:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Pirmā komanda parāda kļūmi un darbstacijas virkni, ko serveris saņēma, bet otrā parāda atļauto sarakstu kontā. Salīdziniet abus, nevis pieņemiet, ka klienta datora nosaukums ir tas, ko serveris reģistrēja. Žurnālā nepareizi izskatīgs nosaukums parasti ir noderīgais atradums, jo tas nosauc mašīnu, ar kuru serveris patiešām domā, ka runā. Tieši pret šo pārliecību tiek pārbaudīts ierobežojums.

Nepievienojiet VPN vārtejas nosaukumu tāpēc, ka trafiks iet caur to. Vārteja nav autentificētais zvanītājs, un tās pievienošana sarakstam neko nemaina, taču padara konta pārskatīšanu grūtāku.

Izlabojiet ierobežojumu mazākajā apjomā

Ja mašīnai ir jāatļauj, pievienojiet tieši šo ierakstu konta darbstaciju sarakstam un atstājiet visu pārējo kā ir. Ja ne, pareizā atbilde ir apstiprināta mašīna, nevis ierobežojuma noņemšana, jo ierobežojums pastāv, lai ierobežotu, kur šos akreditācijas datus drīkst izmantot.

Masveida labojumi šeit ir ierasti un parasti nepareizi. Konts ar garu atļauto mašīnu sarakstu ir konts, kura ierobežojums ir pārstājis kaut ko nozīmēt.

Palīdz arī zināt, vai identitāte ir kopīga. Kad vairāki cilvēki izmanto vienu servisa kontu no vairākiem klēpjdatoriem, darbstaciju saraksts aug, līdz politika kļūst bezjēdzīga, un tā ir dizaina, nevis administrēšanas problēma.

Lasiet nākamo rezultātu, nevis tā neesamību

Pēc apstiprinātas izmaiņas veiciet jaunu pieprasījumu ar paredzēto kontu un pierakstiet, kas notiek. Cita kļūda ir progress, jo tā nosauc nākamo posmu, nevis atkārto iepriekšējo.

DFS ceļš var ieviest vairākus serverus un vairākus piekļuves lēmumus. Viena konta atribūta notīrīšana atrisina vienu no tiem. Novirzīšanas mērķiem joprojām jābūt sasniedzamiem, un koplietojuma un failu sistēmas atļaujām katrā no tiem joprojām jāpieņem konts. Izstrādājiet nākamo kļūdu tāpat, nevis pieņemiet, ka pirmais labojums aptvēra visus.

Nav pamata pārbūvēt VPN profilu vai atiestatīt paroli, kamēr Windows ziņo par darbstacijas ierobežojumu. Microsoft tīkla kļūdu sarakstu ir vērts turēt atvērtu tieši šī iemesla dēļ: kods pasaka, kuru atribūtu pārbaudīt, pirms kaut ko aiztikt.