Гостев вход по SMB през VPN: Windows все още иска идентичност

Свързването с офис VPN прави файловия сървър достъпен, а споделената папка продължава да отказва достъп, което подсказва извода, че тунелът е повреден. Обикновено не е. SMB удостоверява всяка сесия отделно и Windows постоянно затяга това, което приема като анонимен вход. Мрежовият път и потребителската идентичност са различни изисквания, и грешката се отнася до второто.

Защо тунелът не може да замени SMB идентичност

Споделянето на подмрежа със сървър никога не е означавало разрешение да четете файловете му; то премахва само проблема с маршрутизацията. Windows записва събитие 31017, когато неговият клиент блокира несигурен гостев вход, и това е решение, взето на вашата машина, а не на сървъра. Тунелът пренася точно SMB пакети, докато гостевата сесия се отказва. Затова един лаптоп в идентични домашни мрежи работи, а друг не.

Третирайте събитието като доказателство за политика, а не като мрежова неизправност. Поправката е в идентичността или в устройството.

Прочетете клиентската политика и събитието за отказ

Два изхода решават въпроса бързо: действителната клиентска конфигурация и скорошните събития за отказ.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Фалшива гостева настройка, съчетана с изискване за подпис, обяснява неуспеха преди всяко допълнително разследване. Журналът на събитията потвърждава, че клиентът е отказал сесията, а не че сървърът е отхвърлил идентификационни данни. Запишете пътя до споделената папка и акаунта, използвани при успешен опит на друга машина, защото кеширана сесия може да направи два теста еднакви, когато не са. Изчистете съществуващите връзки с net use преди сравнение, за да не отговаря стара сесия вместо новата.

Използвайте именуван акаунт и запазете подписа

Трайното решение е акаунт, който сървърът познава, предоставен изрично, като политиката за подпис и криптиране остава непроменена. Подайте идентификационните данни във връзката, вместо да въвеждате случайно име в диалога.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Именуваният вход създава сесия, която сървърът може да одитира, а Get-SmbConnection показва диалекта и дали подписът е активен. Гостевите сесии не могат да изпълнят изисквания за подпис или криптиране, така че включването на гостево флагче не може да спаси политика, която ги изисква. Когато остаряло устройство няма модел за акаунти, третирайте гостевия достъп като изрично документирано изключение с план за замяна. Не отслабвайте подписа за всяка връзка, за да угаждате на едно устройство.

Когато устройството познава само гост

Някои потребителски NAS кутии предлагат споделяния без понятие за акаунт, което оставя два честни варианта: изолирайте устройството или го заменете. Поставете го в сегмент без маршрут до нищо чувствително и не позволявайте удобно изключение да стане по подразбиране за целия клиент. Гостево споделяне с резервни копия или идентификационни данни е проблем с изтичане на данни, а не досада в Windows. Ако актуализация на фърмуера добавя потребителски акаунти, това е по-евтиният дългосрочен отговор.

Запишете приетия акаунт и стойностите на политиката в заявката. Иначе следващият човек ще повтори теста на тунела и ще стигне до същия отказ.