SMB külalise sisselogimine VPN-i kaudu: Windows nõuab ikka identiteeti

Kontori VPN-iga liitumine teeb failiserveri kättesaadavaks, kuid jagamine keeldub endiselt juurdepääsu andmast, mis kutsub järeldama, et tunnel on katki. Tavaliselt ei ole. SMB autendib iga seanssi eraldi ja Windows on üha rangemalt määratlenud, mida anonüümse sisselogimisena aktsepteerida. Võrgutee ja kasutajaidentiteet on erinevad nõuded, ja viga puudutab teist.

Miks tunnel ei saa SMB identiteeti asendada

Alamvõrgu jagamine serveriga ei ole kunagi tähendanud luba selle faile lugeda; see kõrvaldab ainult marsruutimisprobleemi. Windows logib sündmuse 31017, kui selle klient blokeerib ebaturvalise külalise sisselogimise, ja see on otsus, mis tehakse teie masinas, mitte serveris. Tunnel edastab SMB pakette ustavalt, samal ajal kui külalise seanss lükatakse tagasi. Seetõttu töötab üks sülearvuti identsetes koduvõrkudes ja teine mitte.

Käsitlege sündmust poliitika tõendina, mitte võrgu tõrkena. Parandus on identiteedis või seadmes.

Lugege kliendi poliitikat ja tagasilükkamise sündmust

Kaks väljundit lahendavad küsimuse kiiresti: tegelik kliendi konfiguratsioon ja hiljutised tagasilükkamise sündmused.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Vale külalise seade koos allkirjanõudega selgitab tõrget enne igasugust edasist uurimist. Sündmustelogi kinnitab, et klient lükkas seansi tagasi, mitte server ei lükanud tagasi mandaati. Märkige üles jagamistee ja konto, mida kasutati edukas katses teises masinas, sest vahemällu salvestatud seanss võib muuta kaks testi identsena näivaks, kui need seda ei ole. Tühjendage olemasolevad ühendused käsuga net use enne võrdlemist, et vana seanss ei vastaks uue eest.

Kasutage nimetatud kontot ja hoidke allkirjastamine alles

Püsiv lahendus on konto, mida server teab, selgesõnaliselt esitatud, jättes allkirjastamise ja krüptimise poliitika puutumata. Esitage mandaat ühendusel, selle asemel et dialoogi juhuslikku nime trükkida.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Nimetatud sisselogimine loob seansi, mida server saab auditeerida, ja Get-SmbConnection näitab dialekti ning seda, kas allkirjastamine on aktiivne. Külalise seansid ei suuda täita allkirjastamise ega krüptimise nõudeid, seega ei päästa külalise lipu lubamine poliitikat, mis neid nõuab. Kui vanal seadmel puudub kontomudel, käsitlege külalisjuurdepääsu selgesõnaliselt dokumenteeritud erandina koos asendusplaaniga. Ärge nõrgestage allkirjastamist iga ühenduse jaoks, et ühte seadet teenindada.

Kui seade räägib ainult külalisest

Mõned tarbijate NAS-karbid pakuvad jagamisi ilma igasuguse konto mõisteta, mis jätab kaks ausat valikut: isoleerige seade või asendage see. Pange see segmenti, kus pole marsruuti millegi tundlikuni, ja ärge laske mugavuserandil saada kogu kliendi vaikeväärtuseks. Külalise jagamine, mis hoiab varukoopiaid või mandaate, on andmete paljastamise probleem, mitte Windowsi tüütus. Kui püsivara uuendus lisab kasutajakontod, on see odavam pikaajaline vastus.

Kirjutage aktsepteeritud konto ja poliitika väärtused piletisse. Vastasel juhul käivitab järgmine inimene tunneli testi uuesti ja jõuab sama tagasilükkamiseni.