Mewngofnodi Gwestai SMB dros VPN: mae Windows yn dal i eisiau hunaniaeth

Mae ymuno â VPN y swyddfa yn gwneud y gweinydd ffeiliau yn gyrraeddadwy ac eto mae'r rhannu yn gwrthod mynediad, sy'n awgrymu bod y twnnel wedi torri. Fel arfer nid ydyw. Mae SMB yn dilysu pob sesiwn ar wahân, ac mae Windows wedi bod yn tynhau'r hyn y mae'n ei dderbyn fel mewngofnodi dienw. Mae llwybr rhwydwaith a hunaniaeth defnyddiwr yn ofynion gwahanol, a'r ail un yw pwnc y gwall.

Pam na all y twnnel gymryd lle hunaniaeth SMB

Nid yw rhannu isrwyddfa â gweinydd erioed wedi awgrymu caniatâd i ddarllen ei ffeiliau; dim ond dileu'r broblem llwybro y mae'n ei wneud. Mae Windows yn cofnodi digwyddiad 31017 pan fydd ei gleient yn rhwystro mewngofnodi gwestai anniogel, a phenderfyniad ar eich peiriant chi yw hwnnw, nid ar y gweinydd. Mae'r twnnel yn cludo pecynnau SMB yn ffyddlon tra bod y sesiwn westai yn cael ei gwrthod. Dyna pam mae un gliniadur ar rwydweithiau cartref union yr un fath yn gweithio ac un arall ddim.

Triniwch y digwyddiad fel tystiolaeth o bolisi, nid fel nam rhwydwaith. Mae'r atgyweiriad yn perthyn i hunaniaeth neu i'r ddyfais.

Darllenwch bolisi'r cleient a'r digwyddiad gwrthod

Mae dau allbwn yn setlo'r cwestiwn yn gyflym: y ffurfweddiad cleient effeithiol a'r digwyddiadau gwrthod diweddar.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Mae gosodiad gwestai ffals ynghyd â gofyniad llofnod yn esbonio'r methiant cyn unrhyw ymchwiliad pellach. Mae'r cofnod digwyddiadau yn cadarnhau bod y cleient wedi gwrthod y sesiwn, nid bod y gweinydd wedi gwrthod manylion mewngofnodi. Nodwch y llwybr rhannu a'r cyfrif a ddefnyddiwyd mewn ymgais lwyddiannus ar beiriant arall, oherwydd gall sesiwn wedi'i chachetio wneud dau brawf i edrych yn unfath pan nad ydyn nhw. Cliriwch gysylltiadau presennol gyda net use cyn cymharu, fel nad yw hen sesiwn yn ateb dros yr un newydd.

Defnyddiwch gyfrif ag enw a chadwch y llofnod

Yr atgyweiriad parhaol yw cyfrif y mae'r gweinydd yn ei adnabod, wedi'i ddarparu'n benodol, gyda pholisi llofnod ac amgryptio heb ei newid. Darparwch y manylion mewngofnodi ar y cysylltiad yn lle teipio enw ar hap yn y deialog.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Mae mewngofnodi ag enw yn cynhyrchu sesiwn y gall y gweinydd ei harchwilio, ac mae Get-SmbConnection yn dangos y dafodiaith ac a yw'r llofnod yn weithredol. Ni all sesiynau gwestai fodloni gofynion llofnod nac amgryptio, felly ni all galluogi baner gwestai achub polisi sy'n eu mynnu. Lle nad oes gan ddyfais hen ffasiwn fodel cyfrifon, triniwch fynediad gwestai fel eithriad penodol wedi'i ddogfennu gyda chynllun disodli. Peidiwch â gwanhau'r llofnod ar gyfer pob cysylltiad i ddarparu ar gyfer un ddyfais.

Pan nad yw'r ddyfais yn siarad ond gwestai

Mae rhai blychau NAS defnyddwyr yn datgelu rhaniadau heb unrhyw gysyniad o gyfrif, sy'n gadael dau opsiwn gonest: ynysu'r ddyfais neu ei disodli. Rhowch hi ar segment heb lwybr i unrhyw beth sensitif, a pheidiwch â gadael i eithriad cyfleustra ddod yn ddiofyn i'r cleient cyfan. Mae rhannu gwestai sy'n dal copïau wrth gefn neu fanylion mewngofnodi yn broblem datguddio data yn hytrach na blinder Windows. Os bydd diweddariad cadarnwedd yn ychwanegu cyfrifon defnyddwyr, dyna'r ateb hirdymor rhatach.

Cofnodwch y cyfrif a dderbyniwyd a gwerthoedd y polisi yn y tocyn. Fel arall bydd y person nesaf yn ail-redeg y prawf twnnel ac yn cyrraedd yr un gwrthodiad.