SMB 2240 VPN orqali: kirish ish stansiyalari ro'yxatini tekshiring

Tunnel orqali umumiy jildni ochish 2240 xatosini qaytaradi va birinchi fikr marshrutlashga qarash. Raqam bundan aniqroq. Windows hisob ushbu ish stansiyasidan kira olmasligi mumkinligini bildiradi, bu esa bitta hisob haqidagi siyosat bayoni, yetib borish imkoniyati haqidagi bayon emas.

Xato raqamini tikketda saqlang. U tekshiruvni bitta atribut va bitta hodisaga toraytiradi.

2240 aslida nimani nomlaydi

Tarmoq boshqaruvi xatolari ro'yxati 2240 kodini NERR_InvalidWorkstation deb belgilaydi, bu nomni so'zma-so'z o'qishga arziydi. Hisob ruxsat etilgan kirish kompyuterlari to'plami bilan cheklangan va hisob ma'lumotlarini taqdim etayotgan mashina ular qatorida emas. Bu ta'rifda tunnel, fayl almashish yoki parol tilga olinmaydi. Atribut hisobda turadi va kirishga urinilganda baholanadi.

Xuddi shu oiladagi boshqa raqamlar boshqa narsani bildiradi. Ruxsat etilgan kirish soatlarini buzish boshqa kod, noto'g'ri parol ham shunday. Ularning barchasini kirish muammosi deb xabar qilish operatsion tizim hozir bergan aniqlikni behuda sarflaydi.

Cheklov hisobda yashaydi, shuning uchun u qayerda autentifikatsiya qilinishidan qat'i nazar shaxsni kuzatib boradi. Har kuni ofisda ishlab, noutbukni uyga olib ketadigan foydalanuvchi unga faqat mashina nomi o'zgarganda duch keladi, shuning uchun nosozlik oylab VPN muammosiga o'xshab ko'rinishi mumkin, toki kimdir naqshni taniguncha.

Ikkita bog'liq fakt buni tushuntirmaydi. NAT qurilmasi hisob atributiga tegmasdan kuzatilgan manba manzilini o'zgartirishi mumkin, DNS qo'shimchasining o'zgarishi esa qisqa nomni tuzatib, kirish cheklovini aynan qayerda bo'lsa o'sha yerda qoldiradi. Ikkalasini ham istisno qilishga arziydi va hech biri atributni o'qishning o'rnini bosmaydi.

Avval muvaffaqiyatsiz kirish yozuvini o'qing

Fayl serveri qaysi shaxsni autentifikatsiya qilgani va uni qaysi mashina taqdim etganini aniqlang. Domen hisobi, o'xshash qisqa nomli mahalliy hisob va alohida VPN hisobi bir-birini almashtirmaydi va xato faqat aniqrog'i ma'lum bo'lganda ma'noga ega.

Xavfsizlik jurnali urinishni hisob va chaqiruvchi ish stansiyasi nomi bilan qayd etadi va cheklov aynan shu juftlikka nisbatan baholanadi:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Birinchi buyruq nosozlikni va server olgan ish stansiyasi satrini ko'rsatadi, ikkinchisi hisobdagi ruxsat etilgan ro'yxatni ko'rsatadi. Mijozning o'z kompyuter nomi server qayd etgan nom deb o'ylash o'rniga ikkalasini solishtiring. Jurnalda noto'g'ri ko'ringan nom odatda foydali topilma bo'ladi, chunki u server haqiqatan gaplashayotgan deb hisoblaydigan mashinani nomlaydi. Cheklov aynan shu ishonchga qarshi tekshiriladi.

VPN darvozasi nomini qo'shmang, chunki trafik undan o'tadi. Darvoza autentifikatsiya qilingan chaqiruvchi emas va uni ro'yxatga qo'shish hech narsani o'zgartirmaydi, hisobni tekshirishni esa qiyinlashtiradi.

Cheklovni eng kichik doirada tuzating

Agar mashinaga ruxsat berish kerak bo'lsa, aynan o'sha yozuvni hisobning ish stansiyalari ro'yxatiga qo'shing va qolganini o'z holicha qoldiring. Aks holda to'g'ri javob cheklovni olib tashlash emas, tasdiqlangan mashina, chunki cheklov bu hisob ma'lumotlarini qayerda ishlatish mumkinligini cheklash uchun mavjud.

Ommaviy tahrirlar bu yerda odatiy va odatda noto'g'ri. Ruxsat etilgan mashinalarning uzun ro'yxatiga ega hisob — cheklovi endi hech narsani bildirmaydigan hisob.

Shaxs umumiy yoki yo'qligini bilish ham foydali. Bir necha kishi bitta xizmat hisobini bir necha noutbukdan ishlatsa, siyosat ma'nosiz bo'lguncha ish stansiyalari ro'yxati o'sadi, bu dizayn muammosi, ma'muriy emas.

Keyingi natijani o'qing, uning yo'qligini emas

Tasdiqlangan o'zgarishdan so'ng mo'ljallangan hisob bilan yangi so'rov yuboring va nima bo'lishini yozib qo'ying. Boshqa xato — taraqqiyot, chunki u avvalgisini takrorlash o'rniga keyingi bosqichni nomlaydi.

DFS yo'li bir necha serverni va bir necha kirish qarorini olib kelishi mumkin. Bitta hisob atributini tozalash ulardan birini hal qiladi. Yo'naltirish maqsadlari hali ham yetib borish imkoniyatiga ega bo'lishi kerak va ularning har biridagi almashish va fayl tizimi ruxsatlari hisobni hali ham qabul qilishi kerak. Birinchi tuzatish hammasini qoplagan deb o'ylash o'rniga keyingi xatoni ham xuddi shunday ishlang.

Windows ish stansiyasi cheklovi haqida xabar berayotganda VPN profilini qayta qurish yoki parolni tiklash uchun hech qanday sabab yo'q. Microsoftning tarmoq xatolari ro'yxati aynan shu sabab bilan ochiq turishga arziydi: kod biror narsaga tegishdan oldin qaysi atributni tekshirish kerakligini aytadi.