SMB 2240 përmes VPN: kontrollo listën e stacioneve të punës për hyrje

Hapja e një ndarjeje përmes tunelit kthen gabimin 2240, dhe instinkti i parë është të shohësh rrugëzimin. Numri është më specifik se kaq. Windows raporton se llogaria mund të mos hyjë dot nga ky stacion pune, gjë që është një deklaratë politike për një llogari dhe jo një deklaratë për arritshmërinë.

Mbaje numrin e gabimit në biletë. Ai e ngushton hetimin në një atribut dhe një ngjarje.

Çfarë emërton në të vërtetë 2240

Lista e gabimeve të administrimit të rrjetit e identifikon 2240 si NERR_InvalidWorkstation, një emër që vlen të lexohet fjalë për fjalë. Llogaria është e kufizuar në një grup kompjuterash të lejuar për hyrje, dhe makina që paraqet kredencialet nuk është mes tyre. Asgjë në atë përkufizim nuk përmend tunelin, ndarjen e skedarëve ose fjalëkalimin. Atributi qëndron mbi llogarinë dhe vlerësohet kur tentohet hyrja.

Numra të tjerë në të njëjtën familje nënkuptojnë diçka tjetër. Shkelja e orëve të lejuara të hyrjes është një kod tjetër, dhe po ashtu një fjalëkalim i gabuar. Raportimi i të gjithëve si problem aksesi e shpenzon atë specifikë që sistemi operativ sapo dha.

Kufizimi jeton mbi llogarinë, prandaj ndjek identitetin kudo që ai vërtetohet. Një përdorues që punon në zyrë çdo ditë dhe merr laptopin në shtëpi e has atë vetëm kur ndryshon emri i makinës, dhe për këtë arsye dështimi mund të duket si problem VPN për muaj të tërë, derisa dikush ta njohë modelin.

Dy fakte të lidhura nuk e shpjegojnë. Një pajisje NAT mund të ndryshojë adresën e burimit të vëzhguar pa prekur atributin e llogarisë, dhe një ndryshim i prapashtesës DNS mund të rregullojë një emër të shkurtër duke e lënë kufizimin e hyrjes pikërisht aty ku ishte. Të dyja vlen të përjashtohen, dhe asnjëra nuk e zëvendëson leximin e atributit.

Lexo fillimisht regjistrin e hyrjes së dështuar

Përcakto cilin identitet vërtetoi serveri i skedarëve dhe cila makinë e paraqiti. Një llogari domeni, një llogari lokale me emër të shkurtër të ngjashëm dhe një llogari VPN e veçantë nuk janë të këmbyeshme, dhe gabimi ka kuptim vetëm kur dihet ajo e sakta.

Regjistri i sigurisë e shënon përpjekjen me llogarinë dhe emrin e stacionit të punës që thërret, dhe kufizimi vlerësohet pikërisht kundrejt këtij çifti:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Komanda e parë tregon dështimin dhe vargun e stacionit të punës që mori serveri, dhe e dyta tregon listën e lejuar në llogari. Krahasoni të dyja në vend që të supozoni se emri i kompjuterit të klientit është ai që regjistroi serveri. Një emër që duket i gabuar në regjistër zakonisht është gjetja e dobishme, sepse emërton makinën me të cilën serveri vërtet mendon se po flet. Është pikërisht kjo bindje që kontrollon kufizimi.

Mos shto emrin e portës VPN sepse trafiku kalon përmes saj. Porta nuk është thirrësi i vërtetuar, dhe shtimi i saj në listë nuk ndryshon asgjë, ndërsa e bën llogarinë më të vështirë për t'u rishikuar.

Rregullo kufizimin në shtrirjen më të vogël

Nëse makina duhet të lejohet, shto pikërisht atë zë në listën e stacioneve të punës të llogarisë dhe lër gjithçka tjetër ashtu siç është. Nëse jo, përgjigjja e saktë është një makinë e miratuar dhe jo heqja e kufizimit, sepse kufizimi ekziston për të kufizuar se ku mund të përdoren ato kredenciale.

Redaktimet në masë janë të zakonshme këtu dhe zakonisht të gabuara. Një llogari me një listë të gjatë makinash të lejuara është një llogari, kufizimi i së cilës ka pushuar së nënkuptuari diçka.

Ndihmon gjithashtu të dish nëse identiteti është i përbashkët. Kur disa njerëz përdorin një llogari shërbimi nga disa laptopë, lista e stacioneve të punës rritet derisa politika bëhet e pakuptimtë, gjë që është problem dizajni dhe jo administrativ.

Lexo rezultatin tjetër, jo mungesën e tij

Pas një ndryshimi të miratuar, bëj një kërkesë të re me llogarinë e synuar dhe shënoni çfarë ndodh. Një gabim tjetër është përparim, sepse emërton fazën tjetër në vend që të përsërisë të mëparshmen.

Një shteg DFS mund të sjellë disa serverë dhe disa vendime aksesi. Pastrimi i një atributi llogarie zgjidh një prej tyre. Objektivat e referimit duhet të mbeten të arritshme, dhe lejet e ndarjes dhe të sistemit të skedarëve në secilin prej tyre duhet ta pranojnë llogarinë. Kaloni nëpër gabimin tjetër në të njëjtën mënyrë në vend që të supozoni se rregullimi i parë i mbuloi të gjitha.

Nuk ka asnjë arsye për të rindërtuar profilin VPN ose për të rivendosur fjalëkalimin, ndërsa Windows raporton një kufizim stacioni pune. Lista e gabimeve të rrjetit e Microsoft meriton të mbahet e hapur pikërisht për këtë arsye: kodi ju tregon cilin atribut të shqyrtoni përpara se të prekni gjithçka.