SMB 2240 VPN-ээр: нэвтрэх ажлын станцын жагсаалтыг шалгана уу

Туннелээр хуваалцсан хавтас нээхэд 2240 алдаа буцаж ирдэг бөгөөд эхний зөн совин нь чиглүүлэлтийг харах юм. Тоо үүнээс илүү тодорхой. Windows бүртгэл энэ ажлын станцаас нэвтэрч чадахгүй байж магадгүй гэж мэдээлдэг нь нэг бүртгэлийн бодлогын мэдэгдэл бөгөөд хүртээмжийн тухай мэдэгдэл биш.

Алдааны дугаарыг тасалбарт хадгал. Энэ нь мөрдөн шалгалтыг нэг шинж чанар, нэг үйл явдалд хүртэл нарийсгана.

2240 юуг үнэхээр илэрхийлдэг вэ

Сүлжээний удирдлагын алдааны жагсаалт 2240 кодыг NERR_InvalidWorkstation гэж тодорхойлдог бөгөөд энэ нэрийг шууд утгаар нь унших хэрэгтэй. Бүртгэл нь зөвшөөрөгдсөн нэвтрэх компьютеруудын багцад хязгаарлагдсан бөгөөд итгэмжлэлүүдийг танилцуулж буй машин тэдгээрийн дунд байхгүй. Тэр тодорхойлолтод туннель, файл хуваалцах эсвэл нууц үгийг дурдаагүй. Шинж чанар нь бүртгэл дээр байрлаж, нэвтрэх оролдлогын үед үнэлэгддэг.

Ижил гэр бүлийн бусад тоо өөр утгатай. Зөвшөөрөгдсөн нэвтрэх цагийг зөрчих нь өөр код, буруу нууц үг ч мөн адил. Бүгдийг нь хандалтын асуудал гэж мэдээлэх нь үйлдлийн систем дөнгөж өгсөн нарийвчлалыг үрэх юм.

Хязгаарлалт нь бүртгэл дээр амьдардаг тул таних тэмдгийг хаана баталгаажуулсан ч дагадаг. Өдөр бүр оффис дээр ажиллаж, зөөврийн компьютерээ гэртээ авч явдаг хэрэглэгч зөвхөн машины нэр өөрчлөгдөх үед л үүнтэй таардаг бөгөөд иймээс алдаа нь хэн нэгэн хэв маягийг таних хүртэл сар хэдэн сар VPN-ийн асуудал мэт харагдаж болно.

Хоёр холбоотой баримт үүнийг тайлбарлахгүй. NAT төхөөрөмж нь бүртгэлийн шинж чанарт хүрэлгүйгээр ажиглагдсан эх сурвалжийн хаягийг өөрчилж чадна, DNS дагаврын өөрчлөлт нь богино нэрийг засаж, нэвтрэх хязгаарлалтыг яг байсан газарт нь үлдээж чадна. Хоёуланг нь хасах нь зүйтэй бөгөөд аль нь ч шинж чанарыг уншихыг орлохгүй.

Эхлээд амжилтгүй нэвтрэлтийн бичлэгийг унш

Файлын сервер ямар таних тэмдгийг баталгаажуулсан, аль машин түүнийг танилцуулсныг тодорхойл. Домэйн бүртгэл, ижил төстэй богино нэртэй локал бүртгэл, тусдаа VPN бүртгэл нь хоорондоо солигдохгүй бөгөөд яг алийг нь мэдсэн үед л алдаа утгатай болно.

Аюулгүй байдлын бүртгэл оролдлогыг бүртгэл болон дуудаж буй ажлын станцын нэртэй хамт тэмдэглэдэг бөгөөд хязгаарлалт нь яг тэр хосын эсрэг үнэлэгддэг:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Эхний команд нь алдааг болон серверийн хүлээн авсан ажлын станцын мөрийг харуулж, хоёр дахь нь бүртгэл дээрх зөвшөөрөгдсөн жагсаалтыг харуулна. Клиентийн өөрийн компьютерийн нэр нь серверийн тэмдэглэсэн нэр гэж таамаглахын оронд хоёуланг нь харьцуул. Бүртгэлд буруу харагдах нэр нь ихэвчлэн ашигтай олдвор байдаг, учир нь сервер үнэхээр ярьж байна гэж бодож буй машиныг нэрлэдэг. Хязгаарлалт нь яг тэр итгэл үнэмшлийн эсрэг шалгагддаг.

Хөдөлгөөн дамждаг гэсэн шалтгаанаар VPN гарцын нэрийг бүү нэм. Гарц нь баталгаажсан дуудагч биш бөгөөд жагсаалтад нэмэх нь юу ч өөрчлөхгүй, харин бүртгэлийг хянахад хэцүү болгоно.

Хязгаарлалтыг хамгийн бага хүрээнд зас

Хэрэв машин зөвшөөрөгдөх ёстой бол яг тэр бичлэгийг бүртгэлийн ажлын станцын жагсаалтад нэмээд бусад бүгдийг хэвээр үлдээ. Хэрэв үгүй бол зөв хариулт нь хязгаарлалтыг арилгах биш, батлагдсан машин юм, учир нь хязгаарлалт нь эдгээр итгэмжлэлийг хаана ашиглаж болохыг хязгаарлахын тулд байдаг.

Бөөнөөр засварлах нь энд түгээмэл бөгөөд ихэвчлэн буруу. Зөвшөөрөгдсөн машинуудын урт жагсаалттай бүртгэл бол хязгаарлалт нь ямар ч утгагүй болсон бүртгэл юм.

Таних тэмдэг хуваалцсан эсэхийг мэдэх нь ч тустай. Хэд хэдэн хүн нэг үйлчилгээний бүртгэлийг хэд хэдэн зөөврийн компьютерээс ашиглах үед бодлого утгагүй болох хүртэл ажлын станцын жагсаалт өсдөг бөгөөд энэ нь дизайны асуудал, захиргааны биш.

Дараагийн үр дүнг унш, түүний байхгүй байгааг биш

Батлагдсан өөрчлөлтийн дараа зорьсон бүртгэлээр шинэ хүсэлт гаргаж, юу болохыг тэмдэглэ. Өөр алдаа бол дэвшил, учир нь өмнөхийг давтахын оронд дараагийн үе шатыг нэрлэдэг.

DFS зам хэд хэдэн сервер, хэд хэдэн хандалтын шийдвэр авчирж болно. Нэг бүртгэлийн шинж чанарыг цэвэрлэх нь тэдгээрийн нэгийг шийднэ. Дахин чиглүүлэх зорилтууд ажиглагдаж байх ёстой, мөн тус бүрийн хуваалцалт болон файлын системийн зөвшөөрөл бүртгэлийг хүлээн зөвшөөрсөн хэвээр байх ёстой. Эхний засвар бүгдийг хамарсан гэж таамаглахгүйгээр дараагийн алдааг мөн адил шийд.

Windows ажлын станцын хязгаарлалтыг мэдээлж байх үед VPN профайлыг дахин байгуулах эсвэл нууц үгийг шинэчлэх ямар ч шалтгаан байхгүй. Microsoft-ын сүлжээний алдааны жагсаалт нь яг энэ шалтгаанаар нээлттэй байлгах нь зүйтэй: ямар нэгэн зүйлд хүрэхээс өмнө аль шинж чанарыг шалгахыг код хэлж өгдөг.