SMB-gasaanmelding oor VPN: Windows wil steeds 'n identiteit hê

Om by die kantoor se VPN aan te sluit, maak die lêerbediener bereikbaar en laat die deel tog steeds toegang weier, wat die gevolgtrekking uitlok dat die tonnel stukkend is. Dit is gewoonlik nie die geval nie. SMB verifieer elke sessie afsonderlik, en Windows het die afgelope tyd strenger geword oor wat hy as 'n anonieme aanmelding aanvaar. 'n Netwerkroete en 'n gebruikersidentiteit is verskillende vereistes, en dit is oor die tweede een dat die fout gaan.

Waarom die tonnel nie 'n SMB-identiteit kan vervang nie

Om 'n subnet met 'n bediener te deel, het nog nooit toestemming gegee om sy lêers te lees nie; dit verwyder net die roeteringsprobleem. Windows teken gebeurtenis 31017 aan wanneer sy kliënt 'n onveilige gasaanmelding blokkeer, en dit is 'n besluit wat op jou masjien geneem word, nie op die bediener nie. Die tonnel dra SMB-pakkette getrou oor terwyl die gassessie geweier word. Dit is waarom een skootrekenaar op identiese tuisnetwerke werk en 'n ander nie.

Behandel die gebeurtenis as bewys van 'n beleid, nie as 'n netwerkfout nie. Die oplossing lê in identiteit of in die toestel self.

Lees die kliëntbeleid en die verwerpinggebeurtenis

Twee uitsette beslis die vraag vinnig: die effektiewe kliëntkonfigurasie en die onlangse verwerpinggebeurtenisse.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

'n Valse gasinstelling saam met 'n vereiste vir ondertekening verklaar die mislukking voordat enige verdere ondersoek gedoen word. Die gebeurtenislogboek bevestig dat die kliënt die sessie geweier het, nie dat die bediener 'n geloofsbrief verwerp het nie. Let op die deelpad en rekening wat in 'n werkende poging op 'n ander masjien gebruik is, want 'n gekasde sessie kan twee toetse identies laat lyk wanneer hulle dit nie is nie. Beëindig bestaande verbindings met net use voordat jy vergelyk, sodat 'n ou sessie nie vir die nuwe een antwoord nie.

Gebruik 'n benoemde rekening en hou ondertekening aan

Die duursame oplossing is 'n rekening wat die bediener ken, eksplisiet verskaf, met die ondertekenings- en enkripsiebeleid onveranderd. Gee die geloofsbrief op die verbinding eerder as om 'n willekeurige naam in die dialoogvenster te tik.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

'n Benoemde aanmelding lewer 'n sessie wat die bediener kan oudit, en Get-SmbConnection wys die dialek en of ondertekening aktief is. Gassessies kan nie aan ondertekenings- of enkripsievereistes voldoen nie, so om 'n gasvlag te aktiveer kan nie 'n beleid red wat dit vereis nie. Waar 'n ou toestel geen rekeningmodel het nie, hanteer gas toegang as 'n eksplisiete gedokumenteerde uitsondering met 'n vervangingsplan. Moenie ondertekening vir elke verbinding verswak om een toestel tegemoet te kom nie.

Wanneer die toestel net gas ken

Sommige verbruiker-NAS-bokse bied dele sonder enige rekeningbegrip, wat twee eerlike opsies laat: isoleer die toestel of vervang dit. Plaas dit op 'n segment sonder 'n roete na iets sensitiefs, en moenie toelaat dat 'n geriefuitsondering die standaard vir die hele kliënt word nie. 'n Gasdeel met rugsteune of geloofsbriewe is 'n datablootstellingsprobleem eerder as 'n Windows-ergernis. As 'n firmware-opdatering gebruikersrekeninge byvoeg, is dit die goedkoper langtermynantwoord.

Teken die aanvaarde rekening en die beleidwaardes in die kaartjie aan. Die volgende persoon sal andersins die tonneltoets weer uitvoer en by dieselfde weiering uitkom.