SMB 2240 przez VPN: sprawdź listę stacji roboczych logowania

Otwarcie udziału przez tunel zwraca błąd 2240, a pierwszym odruchem jest spojrzenie na routing. Numer jest bardziej konkretny. Windows zgłasza, że konto może nie móc zalogować się z tej stacji roboczej, co jest stwierdzeniem polityki dotyczącym jednego konta, a nie stwierdzeniem o osiągalności.

Zachowaj numer błędu w zgłoszeniu. Zawęża dochodzenie do jednego atrybutu i jednego zdarzenia.

Co właściwie oznacza 2240

Lista błędów zarządzania siecią identyfikuje 2240 jako NERR_InvalidWorkstation, nazwę, którą warto czytać dosłownie. Konto jest ograniczone do zbioru dozwolonych komputerów logowania, a maszyna przedstawiająca poświadczenia nie należy do niego. Nic w tej definicji nie wspomina tunelu, udziału plików ani hasła. Atrybut znajduje się na koncie i jest oceniany przy próbie logowania.

Inne numery z tej samej rodziny znaczą coś innego. Naruszenie dozwolonych godzin logowania to inny kod, podobnie jak błędne hasło. Zgłaszanie ich wszystkich jako problemu z dostępem marnuje tę precyzję, którą system operacyjny właśnie podał.

Ograniczenie żyje na koncie, więc podąża za tożsamością wszędzie, gdzie się ona uwierzytelnia. Użytkownik, który codziennie pracuje w biurze i zabiera laptopa do domu, spotyka je tylko wtedy, gdy zmienia się nazwa maszyny, i dlatego awaria może przez miesiące wyglądać jak problem z VPN, zanim ktoś rozpozna wzorzec.

Dwa powiązane fakty tego nie wyjaśniają. Urządzenie NAT może zmienić obserwowany adres źródłowy bez dotykania atrybutu konta, a zmiana sufiksu DNS może naprawić krótką nazwę, pozostawiając ograniczenie logowania dokładnie tam, gdzie było. Oba warto wykluczyć i żaden nie zastępuje przeczytania atrybutu.

Najpierw przeczytaj zapis nieudanego logowania

Ustal, którą tożsamość uwierzytelnił serwer plików i która maszyna ją przedstawiła. Konto domenowe, konto lokalne o podobnej krótkiej nazwie i osobne konto VPN nie są wymienne, a błąd ma sens tylko wtedy, gdy znane jest to dokładne.

Dziennik zabezpieczeń zapisuje próbę wraz z kontem i nazwą wywołującej stacji roboczej, i właśnie względem tej pary oceniane jest ograniczenie:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Pierwsze polecenie pokazuje awarię i ciąg stacji roboczej, który otrzymał serwer, a drugie pokazuje dozwoloną listę na koncie. Porównaj oba, zamiast zakładać, że nazwa komputera klienta jest tym, co zapisał serwer. Nazwa, która w dzienniku wygląda źle, jest zwykle użytecznym ustaleniem, bo nazywa maszynę, z którą serwer naprawdę uważa, że rozmawia. Właśnie względem tego przekonania sprawdzane jest ograniczenie.

Nie dodawaj nazwy bramy VPN dlatego, że ruch przez nią przechodzi. Brama nie jest uwierzytelnionym wywołującym, a dodanie jej do listy niczego nie zmienia, utrudniając przegląd konta.

Napraw ograniczenie w najmniejszym zakresie

Jeśli maszyna ma być dozwolona, dodaj dokładnie ten wpis do listy stacji roboczych konta i zostaw wszystko inne bez zmian. Jeśli nie, poprawną odpowiedzią jest zatwierdzona maszyna, a nie usuwanie ograniczenia, ponieważ ograniczenie istnieje po to, by ograniczać, gdzie tych poświadczeń można używać.

Masowe edycje są tu częste i zwykle błędne. Konto z długą listą dozwolonych maszyn to konto, którego ograniczenie przestało cokolwiek znaczyć.

Pomaga też wiedzieć, czy tożsamość jest współdzielona. Gdy kilka osób używa jednego konta usługi z kilku laptopów, lista stacji roboczych rośnie, aż polityka traci sens, co jest problemem projektowym, a nie administracyjnym.

Czytaj następny wynik, a nie jego brak

Po zatwierdzonej zmianie wykonaj nowe żądanie zamierzonym kontem i zapisz, co się dzieje. Inny błąd jest postępem, bo nazywa następny etap, zamiast powtarzać poprzedni.

Ścieżka DFS może wprowadzić kilka serwerów i kilka decyzji o dostępie. Wyczyszczenie jednego atrybutu konta rozstrzyga jedną z nich. Cele odesłania nadal muszą być osiągalne, a uprawnienia do udziału i systemu plików na każdym z nich nadal muszą dopuszczać konto. Przejdź przez następny błąd w ten sam sposób, zamiast zakładać, że pierwsza poprawka objęła wszystkie.

Nie ma powodu odbudowywać profilu VPN ani resetować hasła, gdy Windows zgłasza ograniczenie stacji roboczej. Lista błędów sieci firmy Microsoft jest warta trzymania otwartej właśnie z tego powodu: kod mówi, który atrybut sprawdzić, zanim czegokolwiek dotkniesz.