تسجيل دخول SMB كضيف عبر VPN: ويندوز ما زال يطلب هوية

إن الاتصال بنفق VPN الخاص بالمكتب يجعل خادم الملفات في متناول اليد، ومع ذلك تظل المشاركة ترفض الوصول، وهو ما يغري باستنتاج أن النفق معطل. والحقيقة أنه ليس كذلك في الغالب. يوثق SMB كل جلسة على حدة، وما زال ويندوز يضيق ما يقبله كتسجيل دخول مجهول. مسار الشبكة وهوية المستخدم متطلبان مختلفان، والخطأ يتعلق بالثاني.

لماذا لا يمكن للنفق أن يحل محل هوية SMB

لم تعن مشاركة شبكة فرعية مع خادم يوما الإذن بقراءة ملفاته؛ فهي تزيل مشكلة التوجيه فقط. يسجل ويندوز الحدث 31017 عندما يحجب عميله تسجيل دخول ضيف غير آمن، وهذا قرار يتخذ على جهازك لا على الخادم. ينقل النفق حزم SMB بأمانة بينما ترفض جلسة الضيف. ولهذا يعمل حاسوب محمول في شبكة منزلية متطابقة ولا يعمل آخر.

تعامل مع الحدث كدليل على سياسة، لا كعطل في الشبكة. الإصلاح يقع في الهوية أو في الجهاز.

اقرأ سياسة العميل وحدث الرفض

يحدد مخرجان المسألة بسرعة: إعداد العميل الفعلي وأحداث الرفض الأخيرة.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

إعداد ضيف غير مفعل مع اشتراط التوقيع يفسر الفشل قبل أي تحقيق إضافي. ويؤكد سجل الأحداث أن العميل رفض الجلسة، لا أن الخادم رفض بيانات اعتماد. دون مسار المشاركة والحساب المستخدم في محاولة ناجحة على جهاز آخر، لأن جلسة مخزنة قد تجعل اختبارين يبدوان متطابقين وهما ليسا كذلك. أغلق الاتصالات القائمة بـ net use قبل المقارنة، حتى لا تجيب جلسة قديمة عن الجلسة الجديدة.

استخدم حسابا مسمى واحتفظ بالتوقيع

الإصلاح الدائم هو حساب يعرفه الخادم، يقدم صراحة، مع ترك سياسة التوقيع والتشفير كما هي. قدم بيانات الاعتماد على الاتصال بدلا من كتابة اسم عشوائي في مربع الحوار.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

ينتج تسجيل الدخول المسمى جلسة يستطيع الخادم تدقيقها، و Get-SmbConnection يظهر نوع البروتوكول وما إذا كان التوقيع مفعلا. لا تستطيع جلسات الضيف تلبية متطلبات التوقيع أو التشفير، لذا لا يمكن لتفعيل علامة الضيف أن ينقذ سياسة تطلبها. وحين لا يملك جهاز قديم نموذج حسابات، عامل وصول الضيف كاستثناء صريح موثق مع خطة استبدال. لا تضعف التوقيع لكل اتصال كي تلائم جهازا واحدا.

حين لا يعرف الجهاز سوى الضيف

تعرض بعض أجهزة NAS الاستهلاكية مشاركات بلا مفهوم حساب، ما يترك خيارين صادقين: عزل الجهاز أو استبداله. ضعه في مقطع بلا مسار إلى أي شيء حساس، ولا تدع استثناء الراحة يصبح الافتراضي للعميل كله. مشاركة ضيف تحمل نسخا احتياطية أو بيانات اعتماد مشكلة تعريض بيانات لا مجرد إزعاج في ويندوز. وإن أضاف تحديث للبرنامج الثابت حسابات مستخدمين، فذلك الجواب الأرخص على المدى الطويل.

سجل الحساب المعتمد وقيم السياسة في التذكرة. وإلا فسيعيد الشخص التالي اختبار النفق ويصل إلى الرفض نفسه.