SMB gonbidatu saioa VPN bidez: Windowsek identitatea eskatzen du oraindik

Bulegoko VPNera konektatzeak fitxategi-zerbitzaria eskuragarri egiten du, eta hala ere partekatzeak sarbidea ukatzen jarraitzen du, eta horrek tunela hondatuta dagoelako ondorioa ateratzera bultzatzen du. Normalean ez dago. SMBk saio bakoitza bereiz autentifikatzen du, eta Windowsek gero eta zorrotzagoa den anonimo saio gisa onartzen duena. Sare-bide bat eta erabiltzaile-identitate bat baldintza desberdinak dira, eta errorea bigarrenari buruzkoa da.

Zergatik ezin duen tunelek SMB identitatea ordeztu

Zerbitzari batekin azpisare bat partekatzeak ez du inoiz bere fitxategiak irakurtzeko baimena esan nahi izan; bideratze-arazoa soilik kentzen du. Windowsek 31017 gertaera erregistratzen du bere bezeroak gonbidatu saio ez-seguru bat blokeatzen duenean, eta hori zure makinan hartutako erabakia da, ez zerbitzarian. Tunelek SMB paketeak leialki garraiatzen ditu gonbidatu saioa ukatzen den bitartean. Horregatik etxeko sare berdin batean ordenagailu eramangarri bat funtzionatzen du eta beste bat ez.

Hartu gertaera politika baten froga gisa, ez sare-akats gisa. Konponketa identitatean edo gailuan dago.

Irakurri bezeroaren politika eta ukapen-gertaera

Bi irteerek azkar erabakitzen dute kontua: bezeroaren konfigurazio eraginkorra eta azken ukapen-gertaerak.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Gonbidatu ezarpen faltsu batek sinadura-baldintza batekin batera hutsa azaltzen du edozein ikerketa gehiago egin aurretik. Gertaera-erregistroak baieztatzen du bezeroak ukatu zuela saioa, eta ez zerbitzariak kredentziala ukatu zuela. Idatz itzazu partekatze-bidea eta beste makina batean saiakera arrakastatsu batean erabilitako kontua, cachean gordetako saio batek bi proba berdinak balira bezala erakutsi baititzake, ez direnean. Garbitu lehendik dauden konexioak net use erabiliz konparatu aurretik, saio zaharra berriaren ordez ez erantzuteko.

Erabili izeneko kontu bat eta mantendu sinadura

Konponbide iraunkorra zerbitzariak ezagutzen duen kontu bat da, espresuki emana, sinadura eta zifratze politikari ukitu gabe. Eman kredentziala konexioan, elkarrizketa-koadroan ausazko izen bat idatzi beharrean.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Izeneko saio batek zerbitzariak audita dezakeen saioa sortzen du, eta Get-SmbConnection dialektoa eta sinadura aktibo dagoen erakusten du. Gonbidatu saioek ezin dituzte sinadura edo zifratze baldintzak bete, beraz gonbidatu bandera bat gaitzeak ezin du horiek eskatzen dituen politika salbatu. Gailu zaharra kontu-eredurik gabe dagoenean, tratatu gonbidatu sarbidea dokumentatutako salbuespen espresu gisa, ordezkatze-plan batekin. Ez ahuldu sinadura konexio guztietan gailu bakarrari egokitzeko.

Gailuak gonbidatua soilik ezagutzen duenean

Kontsumoko NAS kutxa batzuek kontu kontzepturik gabeko partekatzeak erakusten dituzte, eta horrek bi aukera zintzo uzten ditu: gailua isolatu edo ordeztu. Jarri segmentu batean, ezer sentikorrera biderik gabe, eta ez utzi erosotasun-salbuespen bat bezero osorako lehenetsitako balioa bihur dadin. Babes-kopiak edo kredentzialak dituen gonbidatu partekatzea datuak agertzeko arazoa da, ez Windowsen eragozpena. Firmware eguneratze batek erabiltzaile-kontuak gehitzen baditu, hori da epe luzeko erantzun merkeena.

Erregistratu onartutako kontua eta politikaren balioak tiketean. Bestela, hurrengo pertsonak tunelaren proba berriro exekutatuko du eta ukapen berera iritsiko da.