SMB 2240 cez VPN: skontrolujte zoznam pracovných staníc na prihlásenie

Otvorenie zdieľanej zložky cez tunel vracia chybu 2240 a prvý inštinkt je pozrieť sa na smerovanie. Číslo je konkrétnejšie. Windows hlási, že sa účet možno nemôže prihlásiť z tejto pracovnej stanice, čo je tvrdenie o politike jedného účtu, nie tvrdenie o dostupnosti.

Uchovajte číslo chyby v tikete. Zužuje vyšetrovanie na jeden atribút a jednu udalosť.

Čo 2240 vlastne označuje

Zoznam chýb správy siete označuje 2240 ako NERR_InvalidWorkstation, čo je názov, ktorý treba čítať doslovne. Účet je obmedzený na množinu povolených prihlasovacích počítačov a stroj, ktorý predkladá prihlasovacie údaje, medzi nimi nie je. Nič v tejto definícii nespomína tunel, zdieľanú zložku ani heslo. Atribút sedí na účte a vyhodnocuje sa pri pokuse o prihlásenie.

Iné čísla z rovnakej rodiny znamenajú niečo iné. Porušenie povolených prihlasovacích hodín je iný kód, rovnako ako nesprávne heslo. Hlásiť ich všetky ako problém s prístupom plytvá konkrétnosťou, ktorú operačný systém práve poskytol.

Obmedzenie žije na účte, takže nasleduje identitu všade, kde sa overuje. Používateľ, ktorý každý deň pracuje v kancelárii a berie si notebook domov, naň narazí len vtedy, keď sa zmení názov stroja, a preto môže zlyhanie mesiace vyzerať ako problém s VPN, kým niekto ten vzorec rozpozná.

Dve súvisiace skutočnosti to nevysvetľujú. Zariadenie NAT môže zmeniť pozorovanú zdrojovú adresu bez toho, aby sa dotklo atribútu účtu, a zmena prípony DNS môže opraviť krátke meno, pričom obmedzenie prihlásenia zostane presne tam, kde bolo. Obe stojí za vylúčenie a ani jedno nenahrádza čítanie atribútu.

Najprv si prečítajte záznam o neúspešnom prihlásení

Zistite, akú identitu overil súborový server a ktorý stroj ju predložil. Účet domény, lokálny účet s podobným krátkym menom a samostatný účet VPN nie sú zameniteľné a chyba dáva zmysel len vtedy, keď je známy ten presný.

Protokol zabezpečenia zaznamenáva pokus s účtom a názvom volajúcej pracovnej stanice a práve proti tejto dvojici sa obmedzenie vyhodnocuje:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Prvý príkaz ukazuje zlyhanie a reťazec pracovnej stanice, ktorý server dostal, druhý ukazuje povolený zoznam na účte. Porovnajte ich, namiesto toho, aby ste predpokladali, že názov počítača klienta je to, čo server zaznamenal. Meno, ktoré v protokole vyzerá nesprávne, je zvyčajne užitočné zistenie, pretože pomenúva stroj, s ktorým si server skutočne myslí, že hovorí. Práve proti tomu presvedčeniu sa obmedzenie kontroluje.

Nepridávajte názov brány VPN len preto, že cez ňu prechádza prevádzka. Brána nie je overený volajúci a jej pridanie do zoznamu nič nezmení, ale sťaží revíziu účtu.

Opravte obmedzenie v najmenšom rozsahu

Ak má byť stroj povolený, pridajte presne túto položku do zoznamu pracovných staníc účtu a všetko ostatné nechajte tak. Ak nie, správnou odpoveďou je schválený stroj, nie odstránenie obmedzenia, pretože obmedzenie existuje, aby obmedzilo, kde sa tieto prihlasovacie údaje môžu použiť.

Hromadné úpravy sú tu bežné a zvyčajne nesprávne. Účet s dlhým zoznamom povolených strojov je účet, ktorého obmedzenie prestalo niečo znamenať.

Pomáha aj vedieť, či je identita zdieľaná. Keď niekoľko ľudí používa jeden servisný účet z niekoľkých notebookov, zoznam pracovných staníc rastie, kým politika nestratí zmysel, čo je problém návrhu, nie správy.

Čítajte ďalší výsledok, nie jeho neprítomnosť

Po schválenej zmene odošlite novú požiadavku zamýšľaným účtom a zaznamenajte, čo sa stane. Iná chyba je pokrok, pretože pomenúva ďalšiu fázu namiesto opakovania predchádzajúcej.

Cesta DFS môže priniesť niekoľko serverov a niekoľko rozhodnutí o prístupe. Vyčistenie jedného atribútu účtu vyrieši jedno z nich. Ciele presmerovania musia byť stále dostupné a povolenia na zdieľanie a systém súborov na každom z nich musia účet stále pripúšťať. Prejdite ďalšiu chybu rovnakým spôsobom, namiesto toho, aby ste predpokladali, že prvá oprava pokryla všetky.

Nie je dôvod prestavovať profil VPN alebo resetovať heslo, kým Windows hlási obmedzenie pracovnej stanice. Zoznam sieťových chýb od Microsoftu stojí za to mať otvorený práve preto: kód vám povie, ktorý atribút preskúmať, skôr než sa niečoho dotknete.