SMB 2240 VPN üzerinden: oturum açma iş istasyonu listesini denetleyin

Tünel üzerinden bir paylaşımı açmak 2240 hatasını döndürür ve ilk refleks yönlendirmeye bakmaktır. Sayı bundan daha belirgindir. Windows, hesabın bu iş istasyonundan oturum açamayabileceğini bildirir; bu bir hesap hakkında ilke beyanıdır, erişilebilirlik beyanı değil.

Hata numarasını kayıtta tutun. İncelemeyi tek bir özniteliğe ve tek bir olaya daraltır.

2240 gerçekte neyi adlandırır

Ağ yönetimi hata listesi 2240 kodunu NERR_InvalidWorkstation olarak tanımlar; bu adı harfiyen okumak gerekir. Hesap, izin verilen oturum açma bilgisayarlarının bir kümesiyle sınırlıdır ve kimlik bilgilerini sunan makine bunların arasında değildir. Bu tanımda tünel, dosya paylaşımı veya parola geçmez. Öznitelik hesabın üzerinde durur ve oturum açma denendiğinde değerlendirilir.

Aynı ailedeki diğer numaralar başka bir şey anlatır. İzin verilen oturum açma saatlerinin ihlali başka bir koddur; yanlış parola da öyle. Hepsini bir erişim sorunu olarak bildirmek, işletim sisteminin az önce sağladığı belirginliği harcar.

Kısıtlama hesapta yaşar, bu yüzden kimlik nerede doğrulanırsa doğrulansın onu izler. Her gün ofiste çalışan ve dizüstü bilgisayarı eve götüren bir kullanıcı onunla yalnızca makine adı değiştiğinde karşılaşır; bu yüzden arıza aylarca bir VPN sorunu gibi görünebilir, ta ki biri örüntüyü tanıyana kadar.

İki ilgili gerçek bunu açıklamaz. Bir NAT aygıtı, hesap özniteliğine dokunmadan gözlenen kaynak adresini değiştirebilir ve DNS soneki değişikliği kısa bir adı düzeltip oturum açma kısıtlamasını tam olduğu yerde bırakabilir. İkisini de dışlamak gerekir ve hiçbiri özniteliği okumanın yerini tutmaz.

Önce başarısız oturum açma kaydını okuyun

Dosya sunucusunun hangi kimliği doğruladığını ve hangi makinenin bunu sunduğunu belirleyin. Bir etki alanı hesabı, benzer kısa adlı yerel bir hesap ve ayrı bir VPN hesabı birbirinin yerine geçmez ve hata ancak tam olan bilindiğinde anlam kazanır.

Güvenlik günlüğü denemeyi hesap ve çağıran iş istasyonu adıyla kaydeder ve kısıtlama tam olarak bu çift karşısında değerlendirilir:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

İlk komut arızayı ve sunucunun aldığı iş istasyonu dizesini gösterir, ikincisi hesaptaki izin verilen listeyi gösterir. Sunucunun kaydettiği şeyin istemcinin kendi bilgisayar adı olduğunu varsaymak yerine ikisini karşılaştırın. Günlükte yanlış görünen bir ad genellikle yararlı bulgudur, çünkü sunucunun gerçekte konuştuğuna inandığı makineyi adlandırır. Kısıtlamanın denetlendiği inanç tam da budur.

Trafik içinden geçtiği için VPN geçidinin adını eklemeyin. Geçit doğrulanmış çağıran değildir ve onu listeye eklemek hiçbir şeyi değiştirmez, hesabın gözden geçirilmesini zorlaştırır.

Kısıtlamayı en küçük kapsamda düzeltin

Makineye izin verilmesi gerekiyorsa tam o girdiyi hesabın iş istasyonu listesine ekleyin ve gerisini olduğu gibi bırakın. Gerekmiyorsa doğru yanıt kısıtlamayı kaldırmak değil onaylanmış bir makinedir, çünkü kısıtlama bu kimlik bilgilerinin nerede kullanılabileceğini sınırlamak için vardır.

Toplu düzenlemeler burada yaygındır ve genellikle yanlıştır. İzin verilen makinelerin uzun listesine sahip bir hesap, kısıtlaması artık bir şey ifade etmeyen hesaptır.

Kimliğin paylaşılıp paylaşılmadığını bilmek de yardımcı olur. Birkaç kişi bir hizmet hesabını birkaç dizüstü bilgisayardan kullandığında, ilke anlamsızlaşana kadar iş istasyonu listesi büyür; bu bir tasarım sorunudur, yönetim sorunu değil.

Sonraki sonucu okuyun, sonucun yokluğunu değil

Onaylanmış bir değişiklikten sonra amaçlanan hesapla yeni bir istek gönderin ve ne olduğunu kaydedin. Farklı bir hata ilerlemedir, çünkü öncekini yinelemek yerine sonraki aşamayı adlandırır.

Bir DFS yolu birkaç sunucu ve birkaç erişim kararı getirebilir. Bir hesap özniteliğini temizlemek bunlardan birini çözer. Yönlendirme hedefleri hâlâ erişilebilir olmalıdır ve her birindeki paylaşım ve dosya sistemi izinleri hesabı hâlâ kabul etmelidir. İlk düzeltmenin hepsini kapsadığını varsaymak yerine sonraki hatayı da aynı şekilde ele alın.

Windows bir iş istasyonu kısıtlaması bildirirken VPN profilini yeniden oluşturmanın veya parolayı sıfırlamanın hiçbir nedeni yoktur. Microsoft'un ağ hata listesi tam da bu nedenle açık tutmaya değer: kod size herhangi bir şeye dokunmadan önce hangi özniteliği inceleyeceğinizi söyler.