SMB 2240 преку VPN: проверете ја листата на работни станици за најава

Отворањето споделен ресурс преку тунелот враќа грешка 2240, а првата мисла е да се погледне рутирањето. Бројот е поконкретен од тоа. Windows известува дека сметката можеби не може да се најави од оваа работна станица, што е политичка изјава за една сметка, а не изјава за достапност.

Задржете го бројот на грешката во тикетот. Тоа ја стеснува истрагата на еден атрибут и еден настан.

Што всушност означува 2240

Листата со грешки за мрежно управување го идентификува 2240 како NERR_InvalidWorkstation, име што треба да се чита буквално. Сметката е ограничена на множество дозволени најавни компјутери, а машината што ги презентира акредитивите не е меѓу нив. Ништо во таа дефиниција не го спомнува тунелот, споделениот ресурс или лозинката. Атрибутот стои на сметката и се оценува кога се обидува најава.

Други броеви од истото семејство значат нешто друго. Прекршување на дозволените часови за најава е друг код, како и погрешна лозинка. Пријавувањето на сите нив како проблем со пристап ја троши прецизноста што оперативниот систем штотуку ја даде.

Ограничувањето живее на сметката, затоа го следи идентитетот каде и да се автентицира. Корисникот што секој ден работи во канцеларија и носи лаптоп дома го среќава само кога ќе се смени името на машината, и затоа дефектот месеци може да изгледа како VPN проблем пред некој да ја препознае шемата.

Два поврзани факти не го објаснуваат. NAT уред може да ја смени забележаната изворна адреса без да го допре атрибутот на сметката, а промената на DNS суфиксот може да го поправи краткото име, оставајќи го ограничувањето за најава точно таму каде што било. Двете вреди да се исклучат, и ниту едно не го заменува читањето на атрибутот.

Прво прочитајте го записот за неуспешна најава

Утврдете кој идентитет го автентицирал серверот за датотеки и која машина го презентирала. Доменска сметка, локална сметка со слично кратко име и одделна VPN сметка не се заменливи, а грешката има смисла само кога е позната точната.

Безбедносниот дневник го запишува обидот со сметката и името на работната станица што се јавува, и токму тој пар се проверува спрема ограничувањето:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Првата команда го покажува дефектот и низата на работната станица што ја добил серверот, а втората ја покажува дозволената листа на сметката. Споредете ги двете наместо да претпоставите дека името на клиентскиот компјутер е тоа што го запишал серверот. Името што изгледа погрешно во дневникот обично е корисниот наод, бидејќи ја именува машината со која серверот навистина мисли дека разговара. Токму спрема тоа уверување се проверува ограничувањето.

Не го додавајте името на VPN портата затоа што сообраќајот минува низ неа. Портата не е автентицираниот повикувач, а нејзиното додавање на листата не менува ништо, но ја прави сметката потешка за преглед.

Поправете го ограничувањето во најмал обем

Ако машината треба да се дозволи, додајте точно тој запис на листата работни станици на сметката и оставете сѐ друго како што е. Ако не, точниот одговор е одобрена машина, а не отстранување на ограничувањето, бидејќи ограничувањето постои за да ограничи каде можат да се користат тие акредитиви.

Групните измени се вообичаени тука и обично погрешни. Сметка со долга листа дозволени машини е сметка чие ограничување престанало да значи нешто.

Помага и да се знае дали идентитетот е споделен. Кога неколку луѓе користат една сервисна сметка од неколку лаптопи, листата работни станици расте додека политиката не стане бесмислена, што е проблем на дизајнот, а не на администрацијата.

Читајте го следниот резултат, а не неговото отсуство

По одобрена промена, упатете ново барање со предвидената сметка и запишете што се случува. Друга грешка е напредок, бидејќи ја именува следната фаза наместо да ја повторува претходната.

DFS патеката може да внесе неколку сервери и неколку одлуки за пристап. Чистењето на еден атрибут на сметката решава една од нив. Целите на препраќањето сѐ уште мора да бидат достапни, а дозволите за споделување и датотечен систем на секоја од нив сѐ уште мора да ја прифаќаат сметката. Поминете ја следната грешка на ист начин наместо да претпоставите дека првата поправка ги покрила сите.

Нема причина да се преизгради VPN профилот или да се ресетира лозинката додека Windows известува за ограничување на работна станица. Microsoft листата со мрежни грешки вреди да се држи отворена токму поради ова: кодот ви кажува кој атрибут да го проверите пред да допрете нешто.