VPN-এর উপর SMB গেস্ট লগন: Windows এখনও একটি পরিচয় চায়

অফিস VPN-এ যোগ দিলে ফাইল সার্ভার নাগালে আসে, তবুও শেয়ারটি প্রবেশাধিকার দিতে অস্বীকার করে, যা টানেল নষ্ট বলে সিদ্ধান্তে পৌঁছাতে প্ররোচিত করে। সাধারণত তা নয়। SMB প্রতিটি সেশন আলাদাভাবে প্রমাণ করে, আর Windows বেনামি লগন হিসেবে যা গ্রহণ করে তা ক্রমেই কঠোর করছে। নেটওয়ার্ক পথ আর ব্যবহারকারীর পরিচয় দুটি ভিন্ন দাবি, এবং ত্রুটিটি দ্বিতীয়টির বিষয়ে।

কেন টানেল SMB পরিচয়ের বিকল্প হতে পারে না

সার্ভারের সঙ্গে একটি সাবনেট ভাগ করা কখনও তার ফাইল পড়ার অনুমতি বোঝায়নি; এটি কেবল রাউটিং সমস্যা দূর করে। Windows 31017 ইভেন্ট নথিভুক্ত করে যখন তার ক্লায়েন্ট একটি অসুরক্ষিত গেস্ট লগন ব্লক করে, এবং সেটি আপনার মেশিনে নেওয়া সিদ্ধান্ত, সার্ভারে নয়। টানেল SMB প্যাকেট বিশ্বস্তভাবে বহন করে, অথচ গেস্ট সেশন প্রত্যাখ্যাত হয়। এ কারণেই অভিন্ন হোম নেটওয়ার্কে একটি ল্যাপটপ কাজ করে আর অন্যটি করে না।

ইভেন্টটিকে নেটওয়ার্কের ত্রুটি নয়, নীতির প্রমাণ হিসেবে দেখুন। সমাধান পরিচয়ের মধ্যে বা ডিভাইসটিতেই।

ক্লায়েন্ট নীতি ও প্রত্যাখ্যানের ইভেন্ট পড়ুন

দুটি আউটপুট প্রশ্নটি দ্রুত নিষ্পত্তি করে: কার্যকর ক্লায়েন্ট কনফিগারেশন এবং সাম্প্রতিক প্রত্যাখ্যান ইভেন্ট।

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

একটি মিথ্যা গেস্ট সেটিং এবং স্বাক্ষরের বাধ্যবাধকতা একসঙ্গে কোনো অতিরিক্ত তদন্তের আগেই ব্যর্থতাটি ব্যাখ্যা করে। ইভেন্ট লগ নিশ্চিত করে যে ক্লায়েন্ট সেশনটি প্রত্যাখ্যান করেছে, সার্ভার কোনো ক্রেডেনশিয়াল প্রত্যাখ্যান করেনি। অন্য মেশিনে সফল প্রচেষ্টায় ব্যবহৃত শেয়ার পথ ও অ্যাকাউন্ট লিখে রাখুন, কারণ ক্যাশ করা সেশন দুটি পরীক্ষাকে অভিন্ন দেখাতে পারে যখন তারা তা নয়। বিদ্যমান সংযোগগুলো net use দিয়ে বন্ধ করুন, তারপর তুলনা করুন, যাতে পুরোনো সেশন নতুনটির হয়ে উত্তর না দেয়।

একটি নামযুক্ত অ্যাকাউন্ট ব্যবহার করুন এবং স্বাক্ষর রাখুন

স্থায়ী সমাধান হলো সার্ভার যে অ্যাকাউন্ট জানে, তা স্পষ্টভাবে দেওয়া, আর স্বাক্ষর ও এনক্রিপশন নীতি অপরিবর্তিত রাখা। ডায়ালগে এলোমেলো নাম টাইপ না করে সংযোগেই ক্রেডেনশিয়াল দিন।

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

নামযুক্ত লগন এমন সেশন তৈরি করে যা সার্ভার নিরীক্ষা করতে পারে, এবং Get-SmbConnection ডায়ালেক্ট এবং স্বাক্ষর সক্রিয় কি না তা দেখায়। গেস্ট সেশন স্বাক্ষর বা এনক্রিপশনের দাবি পূরণ করতে পারে না, তাই গেস্ট ফ্ল্যাগ চালু করে এমন নীতি বাঁচানো যায় না যা সেগুলো দাবি করে। যেখানে একটি পুরোনো ডিভাইসে অ্যাকাউন্ট মডেল নেই, সেখানে গেস্ট অ্যাক্সেসকে প্রতিস্থাপন পরিকল্পনাসহ একটি স্পষ্ট নথিভুক্ত ব্যতিক্রম হিসেবে দেখুন। একটি ডিভাইসের জন্য সব সংযোগে স্বাক্ষর দুর্বল করবেন না।

যখন ডিভাইসটি কেবল গেস্ট জানে

কিছু ভোক্তা NAS বক্স অ্যাকাউন্টের ধারণা ছাড়া শেয়ার সরবরাহ করে, ফলে দুটি সৎ বিকল্প থাকে: ডিভাইসটি বিচ্ছিন্ন করুন বা প্রতিস্থাপন করুন। এটিকে সংবেদনশীল কিছুর প্রতি রুট নেই এমন সেগমেন্টে রাখুন, এবং সুবিধার ব্যতিক্রম যেন পুরো ক্লায়েন্টের ডিফল্ট না হয়ে যায়। ব্যাকআপ বা ক্রেডেনশিয়াল রাখা গেস্ট শেয়ার Windows-এর বিরক্তি নয়, বরং ডেটা প্রকাশের সমস্যা। যদি ফার্মওয়্যার আপডেট ব্যবহারকারী অ্যাকাউন্ট যোগ করে, সেটাই সস্তা দীর্ঘমেয়াদি উত্তর।

গ্রহণযোগ্য অ্যাকাউন্ট ও নীতির মান টিকিটে লিপিবদ্ধ করুন। নইলে পরের ব্যক্তি আবার টানেল পরীক্ষা চালিয়ে একই প্রত্যাখ্যানে পৌঁছাবেন।