SMB 2240 over VPN: kontroller lista over påloggingsarbeidsstasjonar

Når ei deling blir opna gjennom tunnelen, blir feil 2240 returnert, og den første innskytelsen er å sjå på ruttinga. Talet er meir spesifikt enn det. Windows rapporterer at kontoen kanskje ikkje kan logge på frå denne arbeidsstasjonen, noko som er ei retningslinjeuttale om éin konto og ikkje ei uttale om tilgjenge.

Hald på feilnummeret i saka. Det avgrensar granskinga til éin attributt og éi hending.

Kva 2240 eigentleg nemner

Feillista for nettverksadministrasjon identifiserer 2240 som NERR_InvalidWorkstation, eit namn det er verd å lese bokstaveleg. Kontoen er avgrensa til eit sett med tillatne påloggingsdatamaskiner, og maskina som legg fram legitimasjonen er ikkje blant dei. Ingenting i den definisjonen nemner tunnelen, fildelinga eller passordet. Attributten sit på kontoen og blir vurdert når pålogging blir forsøkt.

Andre nummer i same familie tyder noko anna. Brot på tillatne påloggingstider er ein annan kode, og det same er eit feil passord. Å rapportere dei alle som eit tilgangsproblem kastar bort den spesifisiteten operativsystemet nettopp gav.

Avgrensinga bur på kontoen, så ho følgjer identiteten kvar han enn blir autentisert. Ein brukar som jobbar på kontoret kvar dag og tek med seg ein berbar heim, møter henne berre når maskinnamnet blir endra, og difor kan feilen i månadsvis sjå ut som eit VPN-problem før nokon kjenner att mønsteret.

To skylde fakta forklarer det ikkje. Eininga NAT kan endre den observerte kjeldeadressa utan å røre kontoattributten, og ei endring av DNS-suffikset kan rette eit kort namn medan påloggingsavgrensinga blir nøyaktig der ho var. Begge er verd å utelukke, og ingen av dei erstattar å lese attributten.

Les oppføringa om mislukka pålogging først

Fastslå kva identitet filtenaren autentiserte, og kva maskin som la han fram. Ein domenekonto, ein lokal konto med eit liknande kort namn og ein separat VPN-konto kan ikkje bytast om, og feilen gir berre meining når den nøyaktige er kjend.

Tryggingsloggen registrerer forsøket med kontoen og namnet på den kallande arbeidsstasjonen, og det er nettopp dette paret avgrensinga blir vurdert mot:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Den første kommandoen viser feilen og arbeidsstasjonsstrengen tenaren fekk, og den andre viser den tillatne lista på kontoen. Samanlikn dei to i staden for å anta at datamaskinnamnet til klienten er det tenaren registrerte. Eit namn som ser feil ut i loggen er vanlegvis det nyttige funnet, fordi det nemner maskina tenaren faktisk trur han snakkar med. Det er den trua avgrensinga blir kontrollert mot.

Ikkje legg til namnet på VPN-gatewayen fordi trafikken går gjennom han. Gatewayen er ikkje den autentiserte kallaren, og å leggje han til i lista endrar ingenting medan det gjer kontoen vanskelegare å gjennomgå.

Rett avgrensinga i det minste omfanget

Viss maskina skal tillatast, legg nøyaktig den oppføringa til på arbeidsstasjonslista til kontoen og lat alt anna vere. Viss ikkje, er det rette svaret ei godkjend maskin i staden for å fjerne avgrensinga, fordi avgrensinga finst for å avgrense kvar desse legitimasjonane kan brukast.

Masseredigering er vanleg her og vanlegvis feil. Ein konto med ei lang liste over tillatne maskiner er ein konto der avgrensinga har slutta å tyde noko.

Det hjelper òg å vite om identiteten er delt. Når fleire personar brukar éin tenestekonto frå fleire berbare datamaskiner, veks arbeidsstasjonslista til retningslinja blir meiningslaus, noko som er eit designproblem og ikkje eit administrativt.

Les det neste resultatet, ikkje fråværet av det

Etter ei godkjend endring, send ein ny førespurnad med den tiltenkte kontoen og noter kva som skjer. Ein annan feil er framgang, fordi han nemner neste trinn i staden for å gjenta det førre.

Ein DFS-sti kan introdusere fleire tenarar og fleire tilgangsavgjerder. Å rydde éin kontoattributt avgjer éin av dei. Referansemåla må framleis vere tilgjengelege, og dele- og filsystemløyva på kvar av dei må framleis sleppe kontoen inn. Arbeid deg gjennom den neste feilen på same måte i staden for å anta at den første rettinga dekte alle.

Det er ingen grunn til å byggje VPN-profilen på nytt eller tilbakestille passordet medan Windows rapporterer ei arbeidsstasjonsavgrensing. Microsoft si liste over nettverksfeil er verd å halde open nettopp av denne grunnen: koden fortel deg kva attributt du skal undersøkje før du rører noko.