SMB-gasta ensaluto tra VPN: Windows ankoraŭ postulas identecon

Aliĝi al la oficeja VPN igas la dosier-servilon atingebla kaj tamen la kunuzo rifuzas aliron, kio kondukas al la konkludo, ke la tunelo estas difektita. Kutime ĝi ne estas. SMB aŭtentikigas ĉiun sesion aparte, kaj Windows ĉiam pli striktigas tion, kion ĝi akceptas kiel anoniman ensaluton. Reta vojo kaj uzanta identeco estas malsamaj postuloj, kaj la eraro temas pri la dua.

Kial la tunelo ne povas anstataŭi SMB-identecon

Kunhavigi subreton kun servilo neniam signifis permeson legi ĝiajn dosierojn; ĝi nur forigas la vojig-problemon. Windows registras eventon 31017 kiam ĝia kliento blokas nesekuran gastan ensaluton, kaj tio estas decido farita en via maŝino, ne en la servilo. La tunelo fidele portas SMB-paketojn dum la gasta sesio estas rifuzata. Tio klarigas, kial unu tekkomputilo en identaj hejmaj retoj funkcias kaj alia ne.

Traktu la eventon kiel pruvon pri politiko, ne kiel retan misfunkcion. La riparo apartenas al identeco aŭ al la aparato.

Legu la klientan politikon kaj la rifuzan eventon

Du eligoj rapide solvas la demandon: la efektiva klienta agordo kaj la lastatempaj rifuzaj eventoj.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Malvera gasta agordo kune kun postulo pri subskribo klarigas la malsukceson antaŭ iu ajn plua esploro. La eventa protokolo konfirmas, ke la kliento rifuzis la sesion, ne ke la servilo rifuzis akreditilon. Notu la kunuzan vojon kaj la konton uzitajn en sukcesa provo sur alia maŝino, ĉar kaŝmemorita sesio povas igi du testojn samaj aspekti, kiam ili ne estas. Forigu ekzistantajn konektojn per net use antaŭ ol kompari, por ke malnova sesio ne respondu anstataŭ la nova.

Uzu nomitan konton kaj konservu la subskribon

La daŭra solvo estas konto, kiun la servilo konas, eksplicite provizita, dum la politiko pri subskribo kaj ĉifrado restas netuŝita. Provizu la akreditilon ĉe la konekto anstataŭ tajpi hazardan nomon en la dialogon.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Nomita ensaluto kreas sesion, kiun la servilo povas revizii, kaj Get-SmbConnection montras la dialekton kaj ĉu subskribo estas aktiva. Gastaj sesioj ne povas plenumi postulojn pri subskribo aŭ ĉifrado, do ebligi gastan flagon ne povas savi politikon, kiu postulas ilin. Kie malnova aparato havas nenian kontan modelon, traktu gastan aliron kiel eksplicitan dokumentitan escepton kun anstataŭiga plano. Ne malfortigu la subskribon por ĉiu konekto por adaptiĝi al unu aparato.

Kiam la aparato parolas nur gaste

Kelkaj konsumantaj NAS-skatoloj montras kunuzojn sen ia konta koncepto, kio lasas du honestajn eblojn: izoli la aparaton aŭ anstataŭigi ĝin. Metu ĝin en segmenton sen vojo al io ajn sentema, kaj ne lasu oportunecan escepton fariĝi la defaŭlto por la tuta kliento. Gasta kunuzo enhavanta sekurkopiojn aŭ akreditilojn estas problemo pri elmontro de datumoj, ne ĝenaĵo de Windows. Se firmvara ĝisdatigo aldonas uzantajn kontojn, tio estas la pli malmultekosta longtempa respondo.

Registru la akceptitan konton kaj la politikajn valorojn en la bileto. Alie la sekva persono denove rulos la tunelan teston kaj alvenos al la sama rifuzo.