SMB 2240 prek VPN: preverite seznam delovnih postaj za prijavo

Odpiranje skupne mape prek tunela vrne napako 2240, in prvi instinkt je pogledati usmerjanje. Število je bolj specifično. Windows sporoča, da se račun morda ne more prijaviti s te delovne postaje, kar je izjava o pravilniku za en račun in ne izjava o dosegljivosti.

Obdržite številko napake v prijavi. Zoži preiskavo na en atribut in en dogodek.

Kaj 2240 pravzaprav označuje

Seznam napak upravljanja omrežja opredeljuje 2240 kot NERR_InvalidWorkstation, ime, ki ga velja brati dobesedno. Račun je omejen na nabor dovoljenih prijavnih računalnikov, stroj, ki predloži poverilnice, pa ni med njimi. Nič v tej opredelitvi ne omenja tunela, skupne mape ali gesla. Atribut sedi na računu in se ovrednoti ob poskusu prijave.

Druge številke iz iste družine pomenijo nekaj drugega. Kršitev dovoljenih prijavnih ur je druga koda, prav tako napačno geslo. Poročanje o vseh kot o težavi z dostopom zapravi natančnost, ki jo je operacijski sistem pravkar dal.

Omejitev živi na računu, zato sledi identiteti povsod, kjer se preverja. Uporabnik, ki vsak dan dela v pisarni in odnese prenosnik domov, jo sreča le, ko se spremeni ime stroja, in zato je lahko okvara mesece videti kot težava z VPN, preden kdo prepozna vzorec.

Dve povezani dejstvi tega ne pojasnita. Naprava NAT lahko spremeni opaženi izvorni naslov, ne da bi se dotaknila atributa računa, sprememba pripone DNS pa lahko popravi kratko ime, medtem ko omejitev prijave ostane točno tam, kjer je bila. Oboje velja izključiti in nobeno ne nadomešča branja atributa.

Najprej preberite zapis o neuspešni prijavi

Ugotovite, katero identiteto je preveril strežnik datotek in kateri stroj jo je predložil. Račun domene, lokalni račun s podobnim kratkim imenom in ločen račun VPN niso zamenljivi, napaka pa ima smisel le, ko je znan točni.

Varnostni dnevnik zabeleži poskus z računom in imenom klicoče delovne postaje, in prav proti temu paru se ovrednoti omejitev:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Prvi ukaz pokaže okvaro in niz delovne postaje, ki ga je prejel strežnik, drugi pa pokaže dovoljeni seznam na računu. Primerjajte oba, namesto da bi domnevali, da je ime odjemalčevega računalnika tisto, kar je zabeležil strežnik. Ime, ki je v dnevniku videti napačno, je običajno koristna ugotovitev, ker poimenuje stroj, s katerim strežnik res misli, da govori. Prav proti temu prepričanju se preverja omejitev.

Ne dodajte imena prehoda VPN zato, ker promet poteka skozi njega. Prehod ni preverjeni klicoči, in dodajanje na seznam ničesar ne spremeni, le oteži pregled računa.

Popravite omejitev v najmanjšem obsegu

Če je treba stroju dovoliti, dodajte točno ta vnos na seznam delovnih postaj računa in pustite vse drugo pri miru. Če ne, je pravi odgovor odobren stroj, ne odstranitev omejitve, ker omejitev obstaja zato, da omejuje, kje se te poverilnice lahko uporabljajo.

Množična urejanja so tu pogosta in običajno napačna. Račun z dolgim seznamom dovoljenih strojev je račun, katerega omejitev je prenehala kaj pomeniti.

Pomaga tudi vedeti, ali je identiteta deljena. Ko več ljudi uporablja en servisni račun z več prenosnikov, seznam delovnih postaj raste, dokler pravilnik ne postane nesmiseln, kar je problem zasnove in ne upravljanja.

Preberite naslednji rezultat, ne njegove odsotnosti

Po odobreni spremembi pošljite novo zahtevo z nameravanim računom in zabeležite, kaj se zgodi. Drugačna napaka je napredek, ker poimenuje naslednjo stopnjo, namesto da bi ponovila prejšnjo.

Pot DFS lahko vključi več strežnikov in več odločitev o dostopu. Čiščenje enega atributa računa reši eno od njih. Cilji preusmeritve morajo biti še vedno dosegljivi, dovoljenja za skupno rabo in datotečni sistem na vsakem od njih pa morajo še vedno dopuščati račun. Pojdite skozi naslednjo napako na enak način, namesto da bi domnevali, da je prva poprava zajela vse.

Ni razloga za ponovno izgradnjo profila VPN ali ponastavitev gesla, medtem ko Windows sporoča omejitev delovne postaje. Seznam omrežnih napak podjetja Microsoft velja imeti odprt prav zaradi tega: koda vam pove, kateri atribut pregledati, preden se česar koli dotaknete.