SMB 2240 por VPN: verifique a lista de estações de trabalho de logon

Abrir uma partilha através do túnel devolve o erro 2240, e o primeiro instinto é olhar para o encaminhamento. O número é mais específico do que isso. O Windows comunica que a conta pode não conseguir fazer logon a partir desta estação de trabalho, o que é uma declaração de política sobre uma conta e não uma declaração sobre acessibilidade.

Guarde o número do erro no ticket. Reduz a investigação a um atributo e a um evento.

O que 2240 designa realmente

A lista de erros de gestão de rede identifica 2240 como NERR_InvalidWorkstation, um nome que vale a pena ler à letra. A conta está restrita a um conjunto de computadores de logon permitidos, e a máquina que apresenta as credenciais não está entre eles. Nada nessa definição menciona o túnel, a partilha de ficheiros ou a palavra-passe. O atributo reside na conta e é avaliado quando se tenta o logon.

Outros números da mesma família significam outra coisa. A violação das horas de logon permitidas é um código diferente, tal como uma palavra-passe errada. Comunicá-los todos como um problema de acesso desperdiça a especificidade que o sistema operativo acabou de fornecer.

A restrição vive na conta, por isso segue a identidade onde quer que se autentique. Um utilizador que trabalha no escritório todos os dias e leva um portátil para casa só a encontra quando o nome da máquina muda, e é por isso que a falha pode parecer um problema de VPN durante meses antes de alguém reconhecer o padrão.

Dois factos relacionados não o explicam. Um dispositivo NAT pode alterar o endereço de origem observado sem tocar no atributo da conta, e uma alteração do sufixo DNS pode corrigir um nome curto deixando a restrição de logon exatamente onde estava. Ambos merecem ser excluídos, e nenhum substitui a leitura do atributo.

Leia primeiro o registo de logon falhado

Determine que identidade o servidor de ficheiros autenticou e que máquina a apresentou. Uma conta de domínio, uma conta local com um nome curto semelhante e uma conta VPN separada não são intermutáveis, e o erro só faz sentido quando se conhece a exata.

O registo de segurança anota a tentativa com a conta e o nome da estação de trabalho que chama, e é precisamente esse par que é avaliado contra a restrição:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

O primeiro comando mostra a falha e a cadeia de estação de trabalho que o servidor recebeu, e o segundo mostra a lista permitida na conta. Compare os dois em vez de presumir que o nome do computador do cliente é o que o servidor registou. Um nome que parece errado no registo é habitualmente o achado útil, porque nomeia a máquina com que o servidor acredita realmente estar a falar. É essa crença que a restrição verifica.

Não acrescente o nome da gateway VPN por o tráfego passar por ela. A gateway não é o autor da chamada autenticado, e adicioná-la à lista não altera nada enquanto torna a conta mais difícil de rever.

Corrija a restrição no âmbito mais pequeno

Se a máquina deve ser permitida, acrescente exatamente essa entrada à lista de estações de trabalho da conta e deixe todo o resto como está. Se não, a resposta correta é uma máquina aprovada em vez de remover a restrição, porque a restrição existe para limitar onde essas credenciais podem ser usadas.

As edições em massa são comuns aqui e normalmente erradas. Uma conta com uma lista longa de máquinas permitidas é uma conta cuja restrição deixou de significar algo.

Também ajuda saber se a identidade é partilhada. Quando várias pessoas usam uma conta de serviço a partir de vários portáteis, a lista de estações de trabalho cresce até a política perder sentido, o que é um problema de conceção e não de administração.

Leia o resultado seguinte, não a sua ausência

Após uma alteração aprovada, faça um novo pedido com a conta pretendida e registe o que acontece. Um erro diferente é progresso, porque nomeia a etapa seguinte em vez de repetir a anterior.

Um caminho DFS pode introduzir vários servidores e várias decisões de acesso. Limpar um atributo de conta resolve uma delas. Os destinos de referência continuam a ter de ser acessíveis, e as permissões de partilha e de sistema de ficheiros em cada um deles continuam a ter de admitir a conta. Percorra o erro seguinte da mesma forma em vez de presumir que a primeira correção os cobriu a todos.

Não há razão para reconstruir o perfil de VPN ou repor a palavra-passe enquanto o Windows comunica uma restrição de estação de trabalho. A lista de erros de rede da Microsoft merece ficar aberta exatamente por isto: o código diz-lhe que atributo inspecionar antes de tocar em nada.