SMB 2240 ผ่าน VPN: ตรวจสอบรายการเวิร์กสเตชันที่อนุญาตให้ล็อกออน

การเปิดแชร์ผ่านอุโมงค์ส่งคืนข้อผิดพลาด 2240 และสัญชาตญาณแรกคือการดูเส้นทาง ตัวเลขนั้นเจาะจงกว่านั้น Windows รายงานว่าบัญชีอาจล็อกออนจากเวิร์กสเตชันนี้ไม่ได้ ซึ่งเป็นถ้อยแถลงเชิงนโยบายเกี่ยวกับบัญชีหนึ่งบัญชี ไม่ใช่ถ้อยแถลงเกี่ยวกับการเข้าถึงได้

เก็บหมายเลขข้อผิดพลาดไว้ในตั๋ว มันจำกัดการสอบสวนให้เหลือแอตทริบิวต์เดียวและเหตุการณ์เดียว

2240 ระบุอะไรจริง ๆ

รายการข้อผิดพลาดของการจัดการเครือข่ายระบุ 2240 ว่าเป็น NERR_InvalidWorkstation ซึ่งเป็นชื่อที่ควรอ่านตามตัวอักษร บัญชีถูกจำกัดให้ใช้ได้เฉพาะชุดคอมพิวเตอร์ที่อนุญาตให้ล็อกออน และเครื่องที่นำเสนอข้อมูลรับรองนั้นไม่อยู่ในชุดนั้น ไม่มีสิ่งใดในคำจำกัดความนั้นกล่าวถึงอุโมงค์ แชร์ไฟล์ หรือรหัสผ่าน แอตทริบิวต์อยู่บนบัญชีและถูกประเมินเมื่อมีการพยายามล็อกออน

ตัวเลขอื่นในตระกูลเดียวกันหมายถึงสิ่งอื่น การละเมิดชั่วโมงล็อกออนที่อนุญาตเป็นรหัสที่ต่างออกไป และรหัสผ่านผิดก็เช่นกัน การรายงานทั้งหมดว่าเป็นปัญหาการเข้าถึงทำให้เสียความเจาะจงที่ระบบปฏิบัติการเพิ่งให้มา

ข้อจำกัดอยู่บนบัญชี จึงติดตามตัวตนไปทุกที่ที่มันพิสูจน์ตัว ผู้ใช้ที่ทำงานที่ออฟฟิศทุกวันและพาแล็ปท็อปกลับบ้านจะพบมันเฉพาะเมื่อชื่อเครื่องเปลี่ยน ซึ่งเป็นเหตุผลว่าทำไมความล้มเหลวจึงดูเหมือนปัญหา VPN ได้เป็นเดือนก่อนที่ใครจะรู้จักรูปแบบนี้

ข้อเท็จจริงสองข้อที่เกี่ยวข้องไม่ได้อธิบายมัน อุปกรณ์ NAT เปลี่ยนที่อยู่ต้นทางที่สังเกตได้โดยไม่แตะแอตทริบิวต์ของบัญชี และการเปลี่ยนคำต่อท้าย DNS แก้ชื่อสั้นได้โดยทิ้งข้อจำกัดการล็อกออนไว้ที่เดิม ทั้งสองอย่างควรค่าแก่การตัดออก และไม่มีสิ่งใดแทนการอ่านแอตทริบิวต์ได้

อ่านบันทึกการล็อกออนที่ล้มเหลวก่อน

ระบุว่าตัวตนใดที่เซิร์ฟเวอร์ไฟล์พิสูจน์ตัว และเครื่องใดเป็นผู้นำเสนอ บัญชีโดเมน บัญชีโลคัลที่มีชื่อสั้นคล้ายกัน และบัญชี VPN แยกต่างหากใช้แทนกันไม่ได้ และข้อผิดพลาดจะมีความหมายก็ต่อเมื่อรู้ว่าเป็นอันไหนกันแน่

บันทึกความปลอดภัยบันทึกความพยายามพร้อมบัญชีและชื่อเวิร์กสเตชันที่เรียก และข้อจำกัดถูกประเมินกับคู่นี้:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

คำสั่งแรกแสดงความล้มเหลวและสตริงเวิร์กสเตชันที่เซิร์ฟเวอร์ได้รับ ส่วนคำสั่งที่สองแสดงรายการที่อนุญาตบนบัญชี เปรียบเทียบทั้งสองแทนการสันนิษฐานว่าชื่อคอมพิวเตอร์ของไคลเอนต์คือสิ่งที่เซิร์ฟเวอร์บันทึกไว้ ชื่อที่ดูผิดในบันทึกมักเป็นสิ่งที่ค้นพบที่มีประโยชน์ เพราะมันระบุเครื่องที่เซิร์ฟเวอร์เชื่อจริง ๆ ว่ากำลังคุยด้วย ความเชื่อนั้นคือสิ่งที่ข้อจำกัดตรวจสอบ

อย่าเพิ่มชื่อเกตเวย์ VPN เพราะทราฟฟิกผ่านมัน เกตเวย์ไม่ใช่ผู้เรียกที่พิสูจน์ตัวแล้ว และการเพิ่มมันในรายการไม่ได้เปลี่ยนอะไร แต่ทำให้บัญชียากต่อการตรวจทาน

แก้ไขข้อจำกัดในขอบเขตที่เล็กที่สุด

หากควรอนุญาตเครื่อง ให้เพิ่มรายการนั้นลงในรายการเวิร์กสเตชันของบัญชีและปล่อยอย่างอื่นไว้ตามเดิม หากไม่ควร คำตอบที่ถูกคือเครื่องที่ได้รับอนุมัติ ไม่ใช่การลบข้อจำกัด เพราะข้อจำกัดมีอยู่เพื่อจำกัดว่าข้อมูลรับรองเหล่านั้นใช้ได้ที่ไหน

การแก้ไขแบบกลุ่มเป็นเรื่องปกติที่นี่และมักผิด บัญชีที่มีรายการเครื่องที่อนุญาตยาว ๆ คือบัญชีที่ข้อจำกัดหยุดมีความหมายใด ๆ

การรู้ว่าตัวตนถูกใช้ร่วมกันก็มีประโยชน์ เมื่อหลายคนใช้บัญชีบริการเดียวจากแล็ปท็อปหลายเครื่อง รายการเวิร์กสเตชันจะโตขึ้นจนนโยบายไม่มีความหมาย ซึ่งเป็นปัญหาการออกแบบไม่ใช่การบริหาร

อ่านผลลัพธ์ถัดไป ไม่ใช่การไม่มีผลลัพธ์

หลังจากมีการเปลี่ยนแปลงที่ได้รับอนุมัติ ให้ส่งคำขอใหม่ด้วยบัญชีที่ตั้งใจและบันทึกว่าเกิดอะไรขึ้น ข้อผิดพลาดที่ต่างออกไปคือความคืบหน้า เพราะมันระบุขั้นถัดไปแทนการทำขั้นก่อนหน้าซ้ำ

เส้นทาง DFS อาจนำเซิร์ฟเวอร์หลายตัวและการตัดสินใจเข้าถึงหลายอย่างเข้ามา การล้างแอตทริบิวต์บัญชีหนึ่งอย่างแก้ได้หนึ่งในนั้น เป้าหมายการอ้างอิงยังต้องเข้าถึงได้ และสิทธิ์การแชร์และระบบไฟล์บนแต่ละเป้าหมายยังต้องยอมรับบัญชี ไล่ข้อผิดพลาดถัดไปด้วยวิธีเดียวกันแทนการสันนิษฐานว่าการแก้ครั้งแรกครอบคลุมทั้งหมด

ไม่มีเหตุผลที่จะสร้างโปรไฟล์ VPN ใหม่หรือรีเซ็ตรหัสผ่านในขณะที่ Windows รายงานข้อจำกัดของเวิร์กสเตชัน รายการข้อผิดพลาดเครือข่ายของ Microsoft ควรค่าแก่การเปิดไว้ด้วยเหตุผลนี้เอง: รหัสบอกคุณว่าต้องตรวจแอตทริบิวต์ใดก่อนแตะอะไร