SMB 2240 melalui VPN: semak senarai stesen kerja log masuk

Membuka perkongsian melalui terowong memulangkan ralat 2240, dan naluri pertama ialah melihat penghalaan. Nombor itu lebih khusus daripada itu. Windows melaporkan bahawa akaun mungkin tidak boleh log masuk dari stesen kerja ini, yang merupakan kenyataan dasar tentang satu akaun dan bukan kenyataan tentang kebolehcapaian.

Simpan nombor ralat dalam tiket. Ia menyempitkan siasatan kepada satu atribut dan satu peristiwa.

Apa sebenarnya yang dinamakan 2240

Senarai ralat pengurusan rangkaian mengenal pasti 2240 sebagai NERR_InvalidWorkstation, nama yang wajar dibaca secara literal. Akaun dihadkan kepada satu set komputer log masuk yang dibenarkan, dan mesin yang mengemukakan kelayakan itu bukan dalam kalangan mereka. Tiada apa dalam takrif itu menyebut terowong, perkongsian fail atau kata laluan. Atribut itu terletak pada akaun dan dinilai apabila log masuk dicuba.

Nombor lain dalam keluarga yang sama bermaksud sesuatu yang lain. Pelanggaran waktu log masuk yang dibenarkan ialah kod berbeza, begitu juga kata laluan yang salah. Melaporkan semuanya sebagai masalah akses membazirkan kekhususan yang baru diberikan oleh sistem pengendalian.

Sekatan itu hidup pada akaun, jadi ia mengikut identiti di mana sahaja ia disahkan. Pengguna yang bekerja di pejabat setiap hari dan membawa komputer riba pulang hanya menemuinya apabila nama mesin berubah, dan itulah sebabnya kegagalan boleh kelihatan seperti masalah VPN selama berbulan-bulan sebelum seseorang mengenali corak itu.

Dua fakta berkaitan tidak menjelaskannya. Peranti NAT boleh menukar alamat sumber yang diperhatikan tanpa menyentuh atribut akaun, dan perubahan akhiran DNS boleh membaiki nama pendek sambil membiarkan sekatan log masuk tepat di tempatnya. Kedua-duanya wajar disingkirkan, dan tidak satu pun menggantikan pembacaan atribut itu.

Baca rekod log masuk yang gagal terlebih dahulu

Tentukan identiti mana yang disahkan oleh pelayan fail, dan mesin mana yang mengemukakannya. Akaun domain, akaun tempatan dengan nama pendek yang serupa dan akaun VPN berasingan tidak boleh ditukar ganti, dan ralat itu hanya masuk akal apabila yang tepat diketahui.

Log keselamatan merekodkan percubaan dengan akaun dan nama stesen kerja yang memanggil, dan pasangan itulah yang diuji terhadap sekatan:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Perintah pertama menunjukkan kegagalan dan rentetan stesen kerja yang diterima oleh pelayan, dan yang kedua menunjukkan senarai yang dibenarkan pada akaun. Bandingkan kedua-duanya daripada menganggap nama komputer klien sendiri ialah apa yang direkodkan oleh pelayan. Nama yang kelihatan salah dalam log biasanya penemuan yang berguna, kerana ia menamakan mesin yang pelayan benar-benar percaya ia sedang bercakap dengannya. Kepercayaan itulah yang diperiksa oleh sekatan itu.

Jangan tambah nama get laluan VPN kerana trafik melaluinya. Get laluan itu bukan pemanggil yang disahkan, dan menambahnya ke senarai tidak mengubah apa-apa sambil menjadikan akaun lebih sukar untuk disemak.

Betulkan sekatan pada skop terkecil

Jika mesin itu patut dibenarkan, tambah tepat entri itu ke senarai stesen kerja akaun dan biarkan segala-galanya. Jika tidak, jawapan yang betul ialah mesin yang diluluskan dan bukannya membuang sekatan, kerana sekatan itu wujud untuk mengehadkan di mana kelayakan itu boleh digunakan.

Suntingan pukal adalah biasa di sini dan biasanya salah. Akaun dengan senarai mesin yang dibenarkan yang panjang ialah akaun yang sekatannya telah berhenti bermakna apa-apa.

Ia juga membantu untuk mengetahui sama ada identiti itu dikongsi. Apabila beberapa orang menggunakan satu akaun perkhidmatan dari beberapa komputer riba, senarai stesen kerja bertambah sehingga dasar itu tidak bermakna, yang merupakan masalah reka bentuk dan bukan masalah pentadbiran.

Baca hasil seterusnya, bukan ketiadaannya

Selepas perubahan yang diluluskan, buat permintaan baharu dengan akaun yang dimaksudkan dan catat apa yang berlaku. Ralat yang berbeza ialah kemajuan, kerana ia menamakan peringkat seterusnya dan bukannya mengulangi yang sebelumnya.

Laluan DFS boleh memperkenalkan beberapa pelayan dan beberapa keputusan akses. Membersihkan satu atribut akaun menyelesaikan satu daripadanya. Sasaran rujukan masih perlu boleh dicapai, dan kebenaran perkongsian serta sistem fail pada setiap satunya masih perlu menerima akaun itu. Lalui ralat seterusnya dengan cara yang sama dan bukannya menganggap pembetulan pertama meliputi semuanya.

Tiada sebab untuk membina semula profil VPN atau menetapkan semula kata laluan semasa Windows melaporkan sekatan stesen kerja. Senarai ralat rangkaian Microsoft wajar dibiarkan terbuka atas sebab ini: kod itu memberitahu anda atribut mana yang perlu diperiksa sebelum anda menyentuh apa-apa.