SMB 2240 د VPN له لارې: د ننوتلو کاري سټیشنونو لیست وګورئ

د تونل له لارې د شریکې پوښۍ پرانیستل تېروتنه 2240 راګرځوي، او لومړنی غریزه دا ده چې لارښوونې وګورو۔ شمېره تر دې ډېره مشخصه ده۔ Windows راپور ورکوي چې ښايي حساب له دې کاري سټیشن څخه ننوتل نشي کولی، چې دا د یو حساب په اړه د تګلارې بیان دی نه د رسېدو وړتیا په اړه بیان۔

د تېروتنې شمېره په ټیکټ کې وساتئ۔ دا پلټنه یوې ځانګړنې او یوې پېښې ته محدوده کوي۔

2240 واقعاً څه نوموي

د شبکې مدیریت تېروتنو لیست 2240 د NERR_InvalidWorkstation په توګه پېژني، دا نوم د لفظي لوستلو وړ دی۔ حساب د اجازه ورکړل شویو ننوتلو کمپیوټرونو یوې ټولګې ته محدود دی، او هغه ماشین چې اعتبارنامې وړاندې کوي په دوی کې نه دی۔ په دې تعریف کې تونل، فایل شریکول یا پاسورډ نه یادېږي۔ ځانګړنه پر حساب ده او د ننوتلو د هڅې پر مهال ارزول کېږي۔

په همدې کورنۍ کې نور شمېرې بل څه معنا لري۔ د اجازه ورکړل شویو ننوتلو ساعتونو سرغړونه بله کوډ ده، او غلط پاسورډ هم همداسې۔ دوی ټول د لاسرسي ستونزه بلل هغه مشخصیت ضایع کوي چې عملیاتي سیستم همدا اوس ورکړ۔

محدودیت پر حساب ژوند کوي، نو هر چېرې چې هویت تصدیق شي هغه تعقیبوي۔ هغه کارن چې هره ورځ په دفتر کې کار کوي او لیپ ټاپ کور ته وړي، یوازې هغه وخت ورسره مخ کېږي چې د ماشین نوم بدل شي، او ځکه ناکامي ممکن میاشتې میاشتې د VPN ستونزې په څېر ښکاره شي تر څو چې څوک بڼه وپېژني۔

دوه اړوندې واقعیتونه دا نه روښانه کوي۔ د NAT وسیله کولای شي مشاهده شوې سرچینې پته بدله کړي پرته له دې چې د حساب ځانګړنې ته لاس وروړي، او د DNS ضمیمې بدلون کولای شي یو لنډ نوم سم کړي او د ننوتلو محدودیت په هماغه ځای کې پرېږدي چې و۔ دواړه د ردولو وړ دي، او هیڅ یو یې د ځانګړنې لوستلو ځای نه نیسي۔

لومړی د ناکام ننوتلو ریکارډ ولولئ

معلومه کړئ چې فایل سرور کوم هویت تصدیق کړ او کوم ماشین هغه وړاندې کړ۔ د ډومین حساب، د ورته لنډ نوم سره ځایي حساب او جلا VPN حساب د یو بل بدلېدونکي نه دي، او تېروتنه یوازې هغه وخت معنا لري چې دقیق یې معلوم وي۔

د امنیت لاګ هڅه د حساب او زنګ وهونکي کاري سټیشن نوم سره ثبتوي، او محدودیت په هماغه جوړه کې ارزول کېږي:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

لومړی امر ناکامي او هغه کاري سټیشن تار ښيي چې سرور ترلاسه کړی، او دویم اجازه ورکړل شوی لیست پر حساب ښيي۔ دواړه پرتله کړئ پرته له دې چې فرض کړئ د کارن خپل کمپیوټر نوم هغه دی چې سرور ثبت کړی۔ هغه نوم چې په لاګ کې غلط ښکاري معمولاً ګټور موندنه ده، ځکه هغه ماشین نوموي چې سرور واقعاً فکر کوي چې ورسره خبرې کوي۔ محدودیت په هماغه باور ازمویل کېږي۔

د VPN دروازې نوم مه ورزیاتوئ ځکه چې ترافیک ترې تېرېږي۔ دروازه تصدیق شوی زنګ وهونکی نه دی، او لیست ته یې ورزیاتول هېڅ نه بدلوي او حساب بیاکتنه سختوي۔

محدودیت په کوچني حد کې سم کړئ

که چېرې باید ماشین ته اجازه ورکړل شي، هماغه ننوتنه د حساب کاري سټیشنونو لیست ته ورزیاته کړئ او نور هر څه پرېږدئ۔ که نه، سم ځواب محدودیت لرې کول نه دي بلکې تصویب شوی ماشین دی، ځکه محدودیت د دې لپاره دی چې محدوده کړي چې دا اعتبارنامې چېرې کارول کېدای شي۔

ډله ییز سمونونه دلته عام او معمولاً غلط دي۔ هغه حساب چې د اجازه ورکړل شویو ماشینونو اوږد لیست لري هغه حساب دی چې محدودیت یې معنا له لاسه ورکړې۔

دا هم ګټوره ده چې پوه شئ هویت شریک دی که نه۔ کله چې څو کسان یو خدمت حساب له څو لیپ ټاپونو کاروي، د کاري سټیشنونو لیست تر هغه ډېرېږي چې تګلاره بې معنا شي، دا د ډیزاین ستونزه ده نه اداري۔

بل نتیجه ولولئ، نه د هغې نشتوالی

له تصویب شوي بدلون وروسته د پام وړ حساب سره نوی غوښتنه وکړئ او ثبت کړئ چې څه پېږدي۔ بله تېروتنه پرمختګ ده، ځکه د تېر تکرار پر ځای بل پړاو نوموي۔

د DFS لار ممکن څو سرورونه او څو د لاسرسي پرېکړې راوړي۔ د یوې حساب ځانګړنې پاکول یوه ترې حل کوي۔ د راجع کولو موخې باید لا هم د رسېدو وړ وي، او پر هر یو باندې د شریکولو او فایل سیسټم اجازې باید لا هم حساب ومني۔ بله تېروتنه هم همداسې پر مخ یوسئ پرته له دې چې فرض کړئ لومړني سمون ټول پوښلي۔

هېڅ دلیل نشته چې د VPN پروفایل بیا جوړ کړو یا پاسورډ بیا تنظیم کړو کله چې Windows د کاري سټیشن محدودیت راپور ورکوي۔ د مایکروسافټ د شبکې تېروتنو لیست په همدې دلیل خلاص ساتل ارزښت لري: کوډ تاسو ته وایي چې له هر څه لاس وړلو دمخه کومه ځانګړنه وګورئ۔