VPN üzərindən SMB qonaq girişi: Windows hələ də kimlik tələb edir

Ofis VPN-inə qoşulmaq fayl serverini əlçatan edir, amma paylaşma yenə də girişi rədd edir və bu, tunelin xarab olduğu qənaətinə gətirib çıxarır. Adətən belə deyil. SMB hər sessiyanı ayrıca təsdiqləyir və Windows anonim giriş kimi qəbul etdiyi şeyləri getdikcə sərtləşdirir. Şəbəkə yolu və istifadəçi kimliyi fərqli tələblərdir, və xəta məhz ikincisinə aiddir.

Niyə tunel SMB kimliyini əvəz edə bilməz

Serverlə subneti paylaşmaq heç vaxt onun fayllarını oxumaq icazəsi demək deyildi; bu yalnız marşrutlaşdırma problemini aradan qaldırır. Windows, müştərisi təhlükəsiz olmayan qonaq girişini blokladıqda 31017 hadisəsini qeyd edir və bu, serverdə deyil, sizin maşınınızda verilən qərardır. Tunel SMB paketlərini dəqiq daşıyır, qonaq sessiyası isə rədd edilir. Bir noutbukun eyni ev şəbəkələrində işləməsi, digərinin işləməməsi buna görədir.

Hadisəyə şəbəkə nasazlığı kimi deyil, siyasətin sübutu kimi baxın. Düzəliş kimlikdə və ya cihazın özündədir.

Müştəri siyasətini və rədd hadisəsini oxuyun

İki çıxış məsələni tez həll edir: faktiki müştəri konfiqurasiyası və son rədd hadisələri.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Yanlış qonaq parametri ilə imtina tələbinin birləşməsi nasazlığı hər hansı əlavə araşdırmadan əvvəl izah edir. Hadisə jurnalı sessiyanı müştərinin rədd etdiyini, serverin isə etimadnaməni rədd etmədiyini təsdiqləyir. Başqa maşında işləyən cəhddə istifadə olunan paylaşma yolunu və hesabı qeyd edin, çünki keşlənmiş sessiya iki testi eyni göstərə bilər, halbuki onlar eyni deyil. Mövcud bağlantıları net use ilə bağlayın, sonra müqayisə edin ki, köhnə sessiya yenisi üçün cavab verməsin.

Adlı hesabdan istifadə edin və imzalanmanı saxlayın

Davamlı həll serverin tanıdığı, açıq şəkildə verilən hesabdır; imzalama və şifrələmə siyasətinə toxunulmur. Etimadnaməni dialoqda təsadüfi ad yazmaq əvəzinə bağlantının özündə verin.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Adlı giriş serverin audit edə biləcəyi sessiya yaradır və Get-SmbConnection dialekti, həmçinin imzalanmanın aktiv olub-olmadığını göstərir. Qonaq sessiyaları imzalama və ya şifrələmə tələblərini ödəyə bilməz, ona görə qonaq bayrağını aktivləşdirmək bunları tələb edən siyasəti xilas edə bilməz. Köhnə cihazın hesab modeli yoxdursa, qonaq girişini əvəzetmə planı olan açıq sənədləşdirilmiş istisna kimi qəbul edin. Bir cihaza uyğunlaşmaq üçün hər bağlantıda imzalanmanı zəiflətməyin.

Cihaz yalnız qonağı tanıyanda

Bəzi istehlak NAS qutuları hesab anlayışı olmayan paylaşmalar təqdim edir və bu, iki dürüst seçim qoyur: cihazı təcrid edin və ya dəyişdirin. Onu həssas heç nəyə marşrutu olmayan seqmentə qoyun və rahatlıq istisnasının bütün müştəri üçün standart olmasına imkan verməyin. Ehtiyat nüsxələri və ya etimadnamələri saxlayan qonaq paylaşması Windows narahatçılığı deyil, məlumatların ifşası problemidir. Əgər proqram təminatı yeniləməsi istifadəçi hesabları əlavə edirsə, bu, daha ucuz uzunmüddətli cavabdır.

Qəbul edilən hesabı və siyasət dəyərlərini biletdə qeyd edin. Əks halda növbəti şəxs tunel testini yenidən keçirəcək və eyni rədd ilə qarşılaşacaq.