SMB 2240 prin VPN: verificați lista stațiilor de lucru pentru autentificare

Deschiderea unei partiții partajate prin tunel returnează eroarea 2240, iar primul instinct este să privim rutarea. Numărul este mai specific decât atât. Windows raportează că este posibil ca contul să nu se poată autentifica de pe această stație de lucru, ceea ce este o afirmație de politică despre un singur cont, nu o afirmație despre accesibilitate.

Păstrați numărul erorii în tichet. Restrânge ancheta la un singur atribut și un singur eveniment.

Ce desemnează de fapt 2240

Lista erorilor de administrare a rețelei identifică 2240 drept NERR_InvalidWorkstation, un nume care merită citit literal. Contul este restricționat la un set de computere de autentificare permise, iar mașina care prezintă acreditările nu se află printre ele. Nimic din acea definiție nu menționează tunelul, partajarea de fișiere sau parola. Atributul stă pe cont și este evaluat atunci când se încearcă autentificarea.

Alte numere din aceeași familie înseamnă altceva. Încălcarea orelor de autentificare permise este un cod diferit, la fel și o parolă greșită. Raportarea tuturor ca problemă de acces risipește specificitatea pe care sistemul de operare tocmai a oferit-o.

Restricția trăiește pe cont, așa că urmează identitatea oriunde se autentifică. Un utilizator care lucrează zilnic la birou și ia un laptop acasă o întâlnește doar când se schimbă numele mașinii, și de aceea defecțiunea poate arăta luni întregi ca o problemă de VPN înainte ca cineva să recunoască tiparul.

Două fapte înrudite nu o explică. Un dispozitiv NAT poate schimba adresa de sursă observată fără să atingă atributul contului, iar o modificare a sufixului DNS poate repara un nume scurt lăsând restricția de autentificare exact unde era. Ambele merită excluse și niciunul nu înlocuiește citirea atributului.

Citiți mai întâi înregistrarea autentificării eșuate

Stabiliți ce identitate a autentificat serverul de fișiere și ce mașină a prezentat-o. Un cont de domeniu, un cont local cu un nume scurt similar și un cont VPN separat nu sunt interschimbabile, iar eroarea are sens doar când se cunoaște cel exact.

Jurnalul de securitate înregistrează încercarea cu contul și numele stației de lucru apelante, iar exact această pereche este evaluată față de restricție:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Prima comandă arată defecțiunea și șirul stației de lucru primit de server, iar a doua arată lista permisă pe cont. Comparați-le în loc să presupuneți că numele computerului clientului este cel înregistrat de server. Un nume care pare greșit în jurnal este de obicei descoperirea utilă, pentru că numește mașina cu care serverul chiar crede că vorbește. Exact această convingere este verificată de restricție.

Nu adăugați numele gateway-ului VPN pentru că traficul trece prin el. Gateway-ul nu este apelantul autentificat, iar adăugarea lui în listă nu schimbă nimic, făcând contul mai greu de revizuit.

Corectați restricția în cel mai mic domeniu

Dacă mașina trebuie permisă, adăugați exact acea intrare în lista stațiilor de lucru a contului și lăsați restul neclintit. Dacă nu, răspunsul corect este o mașină aprobată, nu eliminarea restricției, pentru că restricția există ca să limiteze unde pot fi folosite acele acreditări.

Editările în bloc sunt frecvente aici și de obicei greșite. Un cont cu o listă lungă de mașini permise este un cont a cărui restricție a încetat să mai însemne ceva.

Ajută și să știți dacă identitatea este partajată. Când mai multe persoane folosesc un cont de serviciu de pe mai multe laptopuri, lista stațiilor de lucru crește până când politica devine fără sens, ceea ce este o problemă de proiectare, nu administrativă.

Citiți următorul rezultat, nu absența lui

După o modificare aprobată, faceți o cerere nouă cu contul vizat și notați ce se întâmplă. O eroare diferită este progres, pentru că numește etapa următoare în loc să o repete pe cea anterioară.

O cale DFS poate introduce mai multe servere și mai multe decizii de acces. Curățarea unui atribut de cont rezolvă una dintre ele. Țintele de redirectare trebuie să rămână accesibile, iar permisiunile de partajare și de sistem de fișiere de pe fiecare dintre ele trebuie să admită în continuare contul. Parcurgeți următoarea eroare la fel, în loc să presupuneți că prima corectare le-a acoperit pe toate.

Nu există niciun motiv să reconstruiți profilul VPN sau să resetați parola cât timp Windows raportează o restricție de stație de lucru. Lista erorilor de rețea de la Microsoft merită ținută deschisă exact din acest motiv: codul vă spune ce atribut să inspectați înainte de a atinge ceva.