Σύνδεση SMB ως επισκέπτης μέσω VPN: τα Windows εξακολουθούν να ζητούν ταυτότητα

Η σύνδεση στο VPN του γραφείου κάνει τον διακομιστή αρχείων προσβάσιμο και παρ' όλα αυτά ο κοινόχρηστος φάκελος αρνείται την πρόσβαση, κάτι που οδηγεί στο συμπέρασμα ότι η σήραγγα είναι χαλασμένη. Συνήθως δεν είναι. Το SMB πιστοποιεί κάθε σύνοδο χωριστά και τα Windows γίνονται όλο και αυστηρότερα ως προς το τι δέχονται ως ανώνυμη σύνδεση. Μια διαδρομή δικτύου και μια ταυτότητα χρήστη είναι διαφορετικές απαιτήσεις, και το σφάλμα αφορά τη δεύτερη.

Γιατί η σήραγγα δεν μπορεί να αντικαταστήσει μια ταυτότητα SMB

Ο διαμοιρασμός υποδικτύου με έναν διακομιστή δεν σήμαινε ποτέ άδεια ανάγνωσης των αρχείων του· απλώς αφαιρεί το πρόβλημα δρομολόγησης. Τα Windows καταγράφουν το συμβάν 31017 όταν ο πελάτης τους αποκλείει μια μη ασφαλή σύνδεση επισκέπτη, και αυτή είναι απόφαση που λαμβάνεται στον δικό σας υπολογιστή και όχι στον διακομιστή. Η σήραγγα μεταφέρει πιστά τα πακέτα SMB ενώ η σύνοδος επισκέπτη απορρίπτεται. Γι' αυτό ένα φορητό σε πανομοιότυπα οικιακά δίκτυα λειτουργεί και ένα άλλο όχι.

Αντιμετωπίστε το συμβάν ως απόδειξη πολιτικής και όχι ως βλάβη δικτύου. Η διόρθωση βρίσκεται στην ταυτότητα ή στη συσκευή.

Διαβάστε την πολιτική του πελάτη και το συμβάν απόρριψης

Δύο έξοδοι λύνουν το ζήτημα γρήγορα: η πραγματική διαμόρφωση του πελάτη και τα πρόσφατα συμβάντα απόρριψης.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Μια ψευδής ρύθμιση επισκέπτη σε συνδυασμό με απαίτηση υπογραφής εξηγεί την αποτυχία πριν από οποιαδήποτε περαιτέρω έρευνα. Το αρχείο καταγραφής συμβάντων επιβεβαιώνει ότι ο πελάτης απέρριψε τη σύνοδο και όχι ότι ο διακομιστής απέρριψε διαπιστευτήριο. Σημειώστε τη διαδρομή του κοινόχρηστου και τον λογαριασμό που χρησιμοποιήθηκαν σε μια επιτυχημένη προσπάθεια σε άλλο μηχάνημα, γιατί μια σύνοδος στην προσωρινή μνήμη μπορεί να κάνει δύο δοκιμές να φαίνονται ίδιες ενώ δεν είναι. Καθαρίστε τις υπάρχουσες συνδέσεις με net use πριν συγκρίνετε, ώστε μια παλιά σύνοδος να μην απαντά για τη νέα.

Χρησιμοποιήστε λογαριασμό με όνομα και διατηρήστε την υπογραφή

Η διαρκής λύση είναι λογαριασμός που γνωρίζει ο διακομιστής, παρεχόμενος ρητά, με την πολιτική υπογραφής και κρυπτογράφησης ανέπαφη. Δώστε το διαπιστευτήριο στη σύνδεση αντί να πληκτρολογήσετε ένα τυχαίο όνομα στο παράθυρο διαλόγου.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Μια σύνδεση με όνομα παράγει σύνοδο που ο διακομιστής μπορεί να ελέγξει, και Get-SmbConnection δείχνει τη διάλεκτο και αν η υπογραφή είναι ενεργή. Οι σύνοδοι επισκέπτη δεν μπορούν να ικανοποιήσουν απαιτήσεις υπογραφής ή κρυπτογράφησης, οπότε η ενεργοποίηση μιας σημαίας επισκέπτη δεν μπορεί να σώσει πολιτική που τις απαιτεί. Όπου μια παλιά συσκευή δεν έχει μοντέλο λογαριασμών, αντιμετωπίστε την πρόσβαση επισκέπτη ως ρητή τεκμηριωμένη εξαίρεση με σχέδιο αντικατάστασης. Μην αποδυναμώσετε την υπογραφή σε κάθε σύνδεση για χάρη μιας συσκευής.

Όταν η συσκευή μιλά μόνο επισκέπτη

Ορισμένα οικιακά NAS εκθέτουν κοινόχρηστα χωρίς καμία έννοια λογαριασμού, αφήνοντας δύο έντιμες επιλογές: απομονώστε τη συσκευή ή αντικαταστήστε την. Τοποθετήστε την σε τμήμα χωρίς διαδρομή προς οτιδήποτε ευαίσθητο και μην αφήσετε μια εξαίρεση ευκολίας να γίνει η προεπιλογή για ολόκληρο τον πελάτη. Ένα κοινόχρηστο επισκέπτη που κρατά αντίγραφα ασφαλείας ή διαπιστευτήρια είναι πρόβλημα έκθεσης δεδομένων και όχι ενόχληση των Windows. Αν μια ενημέρωση υλικολογισμικού προσθέσει λογαριασμούς χρηστών, αυτή είναι η φθηνότερη μακροπρόθεσμη απάντηση.

Καταγράψτε τον αποδεκτό λογαριασμό και τις τιμές πολιτικής στο δελτίο. Διαφορετικά ο επόμενος θα εκτελέσει ξανά τη δοκιμή σήραγγας και θα φτάσει στην ίδια άρνηση.