Hostovské přihlášení SMB přes VPN: Windows stále chce identitu

Připojení k firemní VPN zpřístupní souborový server, a sdílení přesto odmítá přístup, což svádí k závěru, že je tunel rozbitý. Obvykle není. SMB ověřuje každou relaci zvlášť a Windows stále přísněji určuje, co přijme jako anonymní přihlášení. Síťová cesta a identita uživatele jsou různé požadavky, a chyba se týká toho druhého.

Proč tunel nemůže nahradit identitu SMB

Sdílení podsítě se serverem nikdy neznamenalo oprávnění číst jeho soubory; jen odstraňuje problém směrování. Windows zaznamená událost 31017, když jeho klient zablokuje nezabezpečené hostovské přihlášení, a to je rozhodnutí na vašem počítači, ne na serveru. Tunel věrně přenáší pakety SMB, zatímco je hostovská relace odmítnuta. Proto jeden notebook v identických domácích sítích funguje a jiný ne.

Berte událost jako doklad politiky, ne jako síťovou závadu. Oprava patří do identity nebo do zařízení.

Přečtěte si klientskou politiku a událost odmítnutí

Dva výstupy otázku rychle vyřeší: skutečná klientská konfigurace a nedávné události odmítnutí.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Falešné hostovské nastavení v kombinaci s požadavkem na podpis vysvětluje selhání dřív než jakékoli další vyšetřování. Protokol událostí potvrzuje, že relaci odmítl klient, ne že server odmítl přihlašovací údaj. Poznamenejte cestu ke sdílení a účet použité při úspěšném pokusu na jiném počítači, protože relace v mezipaměti může dva testy vykreslit jako stejné, když stejné nejsou. Vymažte existující připojení pomocí net use před porovnáním, aby stará relace neodpovídala za novou.

Použijte pojmenovaný účet a podpis ponechte

Trvalým řešením je účet, který server zná, výslovně předaný, se zachovanou politikou podpisu a šifrování. Předejte přihlašovací údaj v připojení místo psaní náhodného jména do dialogu.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Pojmenované přihlášení vytvoří relaci, kterou server může auditovat, a Get-SmbConnection ukazuje dialekt a zda je podpis aktivní. Hostovské relace nemohou splnit požadavky na podpis nebo šifrování, takže zapnutí hostovského příznaku nemůže zachránit politiku, která je vyžaduje. Pokud starší zařízení nemá model účtů, berte hostovský přístup jako výslovně zdokumentovanou výjimku s plánem náhrady. Neslabujte podpis u každého připojení kvůli jednomu zařízení.

Když zařízení zná jen hosta

Některé spotřebitelské NAS boxy nabízejí sdílení bez pojmu účtu, což nechává dvě poctivé možnosti: zařízení izolovat, nebo nahradit. Umístěte je do segmentu bez trasy k čemukoli citlivému a nedovolte, aby se výjimka pro pohodlí stala výchozí pro celého klienta. Hostovské sdílení se zálohami nebo přihlašovacími údaji je problém úniku dat, ne obtěžování Windows. Pokud aktualizace firmwaru přidá uživatelské účty, je to levnější dlouhodobá odpověď.

Zaznamenejte přijatý účet a hodnoty politiky do tiketu. Jinak další člověk znovu spustí test tunelu a dojde ke stejnému odmítnutí.