SMB 2240 через VPN: проверьте список рабочих станций для входа

Открытие общей папки через туннель возвращает ошибку 2240, и первая мысль — посмотреть на маршрутизацию. Число конкретнее. Windows сообщает, что учётная запись может не иметь права входить с этой рабочей станции, а это утверждение о политике для одной учётной записи, а не утверждение о доступности.

Сохраните номер ошибки в заявке. Он сужает расследование до одного атрибута и одного события.

Что на самом деле означает 2240

Список ошибок управления сетью определяет 2240 как NERR_InvalidWorkstation, и это имя стоит читать буквально. Учётная запись ограничена набором разрешённых компьютеров для входа, и машина, предъявляющая учётные данные, в него не входит. Ничего в этом определении не упоминает туннель, файловый ресурс или пароль. Атрибут находится на учётной записи и оценивается при попытке входа.

Другие числа из того же семейства означают другое. Нарушение разрешённых часов входа — другой код, как и неверный пароль. Сообщать о них всех как о проблеме доступа — значит тратить ту точность, которую только что дала операционная система.

Ограничение живёт на учётной записи, поэтому следует за удостоверением везде, где оно проходит проверку. Пользователь, который каждый день работает в офисе и берёт ноутбук домой, сталкивается с ним только при смене имени машины, и поэтому сбой может месяцами выглядеть как проблема VPN, пока кто-нибудь не узнает закономерность.

Два связанных факта этого не объясняют. Устройство NAT может изменить наблюдаемый адрес источника, не трогая атрибут учётной записи, а изменение суффикса DNS может исправить короткое имя, оставив ограничение входа ровно там, где оно было. Оба стоит исключить, и ни один не заменяет чтения атрибута.

Сначала прочитайте запись о неудачном входе

Установите, какое удостоверение прошло проверку на файловом сервере и какая машина его предъявила. Учётная запись домена, локальная учётная запись с похожим коротким именем и отдельная учётная запись VPN не взаимозаменяемы, и ошибка обретает смысл только когда известна точная.

Журнал безопасности записывает попытку вместе с учётной записью и именем вызывающей рабочей станции, и именно эта пара проверяется по ограничению:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Первая команда показывает сбой и строку рабочей станции, которую получил сервер, а вторая показывает разрешённый список на учётной записи. Сравните их, а не предполагайте, что имя компьютера клиента — это то, что записал сервер. Имя, которое в журнале выглядит неправильным, обычно и есть полезная находка, потому что оно называет машину, с которой сервер действительно думает, что говорит. Именно против этого убеждения проверяется ограничение.

Не добавляйте имя шлюза VPN только потому, что через него идёт трафик. Шлюз не является прошедшим проверку вызывающим, и его добавление в список ничего не меняет, зато усложняет проверку учётной записи.

Исправьте ограничение в наименьшем объёме

Если машине нужно разрешить вход, добавьте ровно эту запись в список рабочих станций учётной записи и оставьте всё остальное как есть. Если нет, правильный ответ — одобренная машина, а не удаление ограничения, потому что ограничение существует, чтобы ограничить, где можно применять эти учётные данные.

Массовые правки здесь обычны и обычно неверны. Учётная запись с длинным списком разрешённых машин — это учётная запись, ограничение которой перестало что-либо значить.

Полезно также знать, является ли удостоверение общим. Когда несколько человек пользуются одной служебной учётной записью с нескольких ноутбуков, список рабочих станций растёт, пока политика не станет бессмысленной, а это проблема проектирования, а не администрирования.

Читайте следующий результат, а не его отсутствие

После одобренного изменения сделайте новый запрос с предполагаемой учётной записью и запишите, что произойдёт. Другая ошибка — это прогресс, потому что она называет следующий этап вместо повторения предыдущего.

Путь DFS может ввести несколько серверов и несколько решений о доступе. Очистка одного атрибута учётной записи решает одно из них. Цели перенаправления по-прежнему должны быть доступны, и разрешения на общий ресурс и файловую систему на каждой из них по-прежнему должны допускать учётную запись. Проходите следующую ошибку так же, а не предполагайте, что первое исправление покрыло все.

Нет причин перестраивать профиль VPN или сбрасывать пароль, пока Windows сообщает об ограничении рабочей станции. Список сетевых ошибок Microsoft стоит держать открытым именно по этой причине: код говорит, какой атрибут проверить, прежде чем к чему-либо прикасаться.