SMB 2240 преко VPN-а: проверите листу радних станица за пријаву

Отварање дељеног ресурса преко тунела враћа грешку 2240, а први инстинкт је погледати рутирање. Број је конкретнији од тога. Windows пријављује да налог можда не може да се пријави са ове радне станице, што је изјава о политици за један налог, а не изјава о доступности.

Задржите број грешке у тикету. Он сужава истрагу на један атрибут и један догађај.

Шта 2240 заиста означава

Листа грешака управљања мрежом идентификује 2240 као NERR_InvalidWorkstation, име које треба читати дословно. Налог је ограничен на скуп дозвољених рачунара за пријаву, а машина која представља акредитиве није међу њима. Ништа у тој дефиницији не помиње тунел, дељени ресурс или лозинку. Атрибут се налази на налогу и процењује се при покушају пријаве.

Други бројеви из исте фамилије значе нешто друго. Кршење дозвољених сати пријаве је други код, као и погрешна лозинка. Пријављивање свих њих као проблема са приступом троши прецизност коју је оперативни систем управо дао.

Ограничење живи на налогу, па следи идентитет где год се он аутентификује. Корисник који сваки дан ради у канцеларији и носи лаптоп кући сусреће га само када се промени име машине, и зато квар може месецима да изгледа као проблем са VPN-ом пре него што неко препозна образац.

Две повезане чињенице то не објашњавају. NAT уређај може да промени уочену изворну адресу без дирања атрибута налога, а промена DNS суфикса може да поправи кратко име док ограничење пријаве остаје тачно тамо где је било. Обе вреди искључити, и ниједна не замењује читање атрибута.

Прво прочитајте запис о неуспешној пријави

Утврдите који је идентитет датотечни сервер аутентификовао и која машина га је представила. Доменски налог, локални налог са сличним кратким именом и одвојени VPN налог нису замењиви, а грешка има смисла тек када је познат тачан.

Безбедносни дневник бележи покушај са налогом и именом радне станице која позива, а управо се тај пар проверава према ограничењу:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Прва наредба показује квар и низ радне станице који је сервер примио, а друга показује дозвољену листу на налогу. Упоредите их уместо да претпоставите да је име клијентског рачунара оно што је сервер забележио. Име које у запису изгледа погрешно обично је корисно откриће, јер именује машину са којом сервер заиста мисли да разговара. Управо се према том уверењу проверава ограничење.

Не додајте име VPN приступника зато што саобраћај пролази кроз њега. Приступник није аутентификовани позивалац, а његово додавање на листу ништа не мења, само отежава преглед налога.

Исправите ограничење у најмањем обиму

Ако машини треба дозволити, додајте тачно тај унос на листу радних станица налога и оставите све остало како јесте. Ако не, исправан одговор је одобрена машина, а не уклањање ограничења, јер ограничење постоји да ограничи где се ти акредитиви могу користити.

Групне измене су овде уобичајене и обично погрешне. Налог са дугачком листом дозвољених машина је налог чије је ограничење престало нешто да значи.

Помаже и да знате да ли је идентитет дељен. Када више људи користи један сервисни налог са више лаптопа, листа радних станица расте док политика не постане бесмислена, што је проблем дизајна, а не администрације.

Читајте следећи резултат, а не његово одсуство

Након одобрене промене, упутите нови захтев са предвиђеним налогом и забележите шта се догађа. Друга грешка је напредак, јер именује следећу фазу уместо да понавља претходну.

DFS путања може да уведе неколико сервера и неколико одлука о приступу. Чишћење једног атрибута налога решава једну од њих. Циљеви преусмеравања и даље морају бити доступни, а дозволе за дељење и датотечки систем на сваком од њих и даље морају да прихватају налог. Прођите кроз следећу грешку на исти начин уместо да претпоставите да је прва поправка покрила све.

Нема разлога за поновно прављење VPN профила ни за ресетовање лозинке док Windows пријављује ограничење радне станице. Microsoft-ова листа мрежних грешака вреди да се држи отворена управо због овога: код вам каже који атрибут да проверите пре него што било шта дирнете.