SMB 2240 qua VPN: kiểm tra danh sách máy trạm đăng nhập

Mở một chia sẻ qua đường hầm trả về lỗi 2240, và phản xạ đầu tiên là xem định tuyến. Con số cụ thể hơn thế. Windows báo rằng tài khoản có thể không đăng nhập được từ máy trạm này, đây là một tuyên bố chính sách về một tài khoản chứ không phải tuyên bố về khả năng tiếp cận.

Giữ số lỗi trong phiếu. Nó thu hẹp cuộc điều tra vào một thuộc tính và một sự kiện.

2240 thực sự chỉ điều gì

Danh sách lỗi quản lý mạng xác định 2240 là NERR_InvalidWorkstation, một cái tên đáng đọc theo nghĩa đen. Tài khoản bị giới hạn trong một tập máy tính được phép đăng nhập, và máy đang trình bày thông tin xác thực không nằm trong đó. Không có gì trong định nghĩa đó nhắc đến đường hầm, chia sẻ tệp hay mật khẩu. Thuộc tính nằm trên tài khoản và được đánh giá khi có nỗ lực đăng nhập.

Các con số khác trong cùng họ có nghĩa khác. Vi phạm giờ đăng nhập được phép là một mã khác, và mật khẩu sai cũng vậy. Báo cáo tất cả chúng như một sự cố truy cập sẽ lãng phí tính cụ thể mà hệ điều hành vừa cung cấp.

Hạn chế nằm trên tài khoản, nên nó đi theo danh tính ở bất cứ đâu danh tính được xác thực. Người dùng làm việc tại văn phòng mỗi ngày và mang máy tính xách tay về nhà chỉ gặp nó khi tên máy thay đổi, và đó là lý do sự cố có thể trông như vấn đề VPN trong nhiều tháng trước khi ai đó nhận ra mẫu hình.

Hai sự thật liên quan không giải thích được điều đó. Một thiết bị NAT có thể thay đổi địa chỉ nguồn quan sát được mà không chạm vào thuộc tính tài khoản, và thay đổi hậu tố DNS có thể sửa một tên ngắn trong khi vẫn để hạn chế đăng nhập đúng chỗ cũ. Cả hai đều đáng loại trừ, và không cái nào thay thế việc đọc thuộc tính.

Đọc bản ghi đăng nhập thất bại trước

Xác định máy chủ tệp đã xác thực danh tính nào và máy nào đã trình bày nó. Một tài khoản miền, một tài khoản cục bộ có tên ngắn tương tự và một tài khoản VPN riêng không thể hoán đổi cho nhau, và lỗi chỉ có nghĩa khi biết chính xác cái nào.

Nhật ký bảo mật ghi lại nỗ lực cùng tài khoản và tên máy trạm gọi, và chính cặp đó là thứ hạn chế được đánh giá:

Get-WinEvent -FilterHashtable @{LogName='Security'; Id=4625; StartTime=(Get-Date).AddHours(-2)} |
  Select-Object TimeCreated,Message | Format-List
Get-ADUser -Identity jdoe -Properties LogonWorkstations |
  Select-Object SamAccountName,LogonWorkstations

Lệnh đầu tiên hiển thị sự cố và chuỗi máy trạm mà máy chủ nhận được, lệnh thứ hai hiển thị danh sách được phép trên tài khoản. Hãy so sánh cả hai thay vì giả định tên máy tính của máy khách là thứ máy chủ đã ghi. Một cái tên trông sai trong nhật ký thường là phát hiện hữu ích, vì nó gọi tên chiếc máy mà máy chủ thực sự tin rằng nó đang nói chuyện. Chính niềm tin đó là thứ hạn chế được kiểm tra.

Đừng thêm tên cổng VPN chỉ vì lưu lượng đi qua nó. Cổng không phải người gọi đã xác thực, và thêm nó vào danh sách không thay đổi gì trong khi khiến tài khoản khó rà soát hơn.

Sửa hạn chế trong phạm vi nhỏ nhất

Nếu máy cần được cho phép, hãy thêm đúng mục đó vào danh sách máy trạm của tài khoản và để mọi thứ khác yên. Nếu không, câu trả lời đúng là một máy đã được phê duyệt chứ không phải gỡ bỏ hạn chế, vì hạn chế tồn tại để giới hạn nơi những thông tin xác thực đó được dùng.

Chỉnh sửa hàng loạt là phổ biến ở đây và thường sai. Một tài khoản có danh sách máy được phép dài là tài khoản mà hạn chế đã thôi không còn ý nghĩa.

Cũng hữu ích khi biết danh tính có được chia sẻ hay không. Khi nhiều người dùng một tài khoản dịch vụ từ nhiều máy tính xách tay, danh sách máy trạm tăng lên cho đến khi chính sách trở nên vô nghĩa, đó là vấn đề thiết kế chứ không phải quản trị.

Đọc kết quả tiếp theo, không phải sự vắng mặt của nó

Sau một thay đổi được phê duyệt, hãy gửi yêu cầu mới với tài khoản dự định và ghi lại điều gì xảy ra. Một lỗi khác là tiến bộ, vì nó gọi tên giai đoạn tiếp theo thay vì lặp lại giai đoạn trước.

Một đường dẫn DFS có thể mang vào nhiều máy chủ và nhiều quyết định truy cập. Việc dọn một thuộc tính tài khoản giải quyết một trong số đó. Các đích chuyển hướng vẫn phải tiếp cận được, và quyền chia sẻ cùng hệ thống tệp trên từng đích vẫn phải chấp nhận tài khoản. Hãy xử lý lỗi tiếp theo theo cùng cách thay vì giả định bản sửa đầu tiên đã bao trùm tất cả.

Không có lý do để dựng lại hồ sơ VPN hay đặt lại mật khẩu khi Windows đang báo một hạn chế máy trạm. Danh sách lỗi mạng của Microsoft đáng để mở sẵn chính vì lý do này: mã cho bạn biết cần kiểm tra thuộc tính nào trước khi chạm vào bất cứ thứ gì.