無法通過 VPN 從非域電腦連接到 Windows 網路共享

我在不同的 LAN 中有兩個單獨的 Windows 域。在兩者之間，我建立了一個站點到站點的 VPN。Red 是Dom_a 的Windows 2003 域控制器。藍色域 Dom_b 的 Windows 2008 R2 域成員。我想從 Blue 掛載一個 Red 共享文件夾。

[Red] --- [Gateway A] === [Gateway B] --- [Blue]
Share     NAT / Router    Router
---------------------     ----------------------
         A                          B

Blue 可以 ping Red，執行 RDP 連接或訪問 A 中的任何伺服器。路由是通過 Red 和 Blue 上的靜態路由完成的。如果我在藍色的資源管理器中輸入 \red.domain\，我會收到密碼提示。送出後，我收到錯誤消息，即不允許使用者從該站連接。憑證應該沒問題。機器上的“網路使用”給我一個系統錯誤 2240（不允許使用者從這個站連接）。

接下來，我將網關 A 配置為針對 Red 的 NAT。所以來自 B 的所有流量似乎都來自 A 的本地網路。還是一樣的情況。

唯一的特點是兩個域的第一部分是相同的。後面的部分不是。使用者名也不同。我覺得應該沒問題。

對我來說，DC 似乎不允許從非域電腦連接。也許某種網路隔離？我無法直接訪問 Red。

我剛剛解決了這個問題。我將總結一些值得注意的方面：

• 使用了不同的登錄名。使用名稱@域模式。權限不好。它實際上是一組 DFS 共享。
• 重新啟用 NAT。某些文件夾仍然無法從其他子網訪問。
• 在 (B) 中為遠端域 (A) 創建了一個存根區域（帶有到 A DNS 伺服器的轉發器）。
• 手動配置的 DNS 後綴。首先是遠端網路（A）的域，然後是本地（B）

現在可以使用主機名、FQDN 和 IP 來訪問 Red。

關於系統錯誤 2240 的更新

這是由使用者帳戶引起的單獨問題。該帳戶已配置為僅允許從特定電腦登錄。將 Blue 的主機名添加到使用者後，它就開始工作了。這是在 AD 中完成的。請參閱不相關的問題Change list of allowed logon computer from batch file。

引用自：https://serverfault.com/questions/347532