ورود مهمان SMB از طریق VPN: ویندوز هنوز هویت می‌خواهد

اتصال به VPN دفتر، سرور فایل را در دسترس قرار می‌دهد و با این حال اشتراک‌گذاری همچنان دسترسی را رد می‌کند، که این تصور را ایجاد می‌کند تونل خراب است. معمولاً این‌طور نیست. SMB هر نشست را جداگانه احراز هویت می‌کند و ویندوز پیوسته سخت‌گیرتر می‌شود در اینکه چه چیزی را به‌عنوان ورود ناشناس بپذیرد. مسیر شبکه و هویت کاربر دو نیاز متفاوت هستند، و خطا به دومی مربوط است.

چرا تونل نمی‌تواند جایگزین هویت SMB شود

هم‌رسانی یک زیرشبکه با سرور هرگز به معنای اجازه خواندن فایل‌های آن نبوده است؛ فقط مشکل مسیریابی را برمی‌دارد. ویندوز هنگام مسدود کردن ورود مهمان ناامن توسط کلاینتش رویداد 31017 را ثبت می‌کند و این تصمیمی است که در دستگاه شما گرفته می‌شود، نه در سرور. تونل بسته‌های SMB را وفادارانه منتقل می‌کند در حالی که نشست مهمان رد می‌شود. به همین دلیل یک لپ‌تاپ در شبکه‌های خانگی یکسان کار می‌کند و دیگری نه.

رویداد را شاهد یک خط‌مشی بدانید، نه نقص شبکه. اصلاح در هویت یا در خود دستگاه است.

خط‌مشی کلاینت و رویداد رد شدن را بخوانید

دو خروجی پرسش را سریع روشن می‌کند: پیکربندی مؤثر کلاینت و رویدادهای رد شدن اخیر.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

تنظیم نادرست مهمان همراه با الزام امضا، شکست را پیش از هر بررسی بیشتری توضیح می‌دهد. گزارش رویداد تأیید می‌کند که کلاینت نشست را رد کرده است، نه اینکه سرور یک اعتبارنامه را رد کرده باشد. مسیر اشتراک و حسابی را که در تلاشی موفق روی دستگاهی دیگر به کار رفته یادداشت کنید، چون نشست ذخیره‌شده می‌تواند دو آزمون را یکسان نشان دهد در حالی که یکسان نیستند. اتصال‌های موجود را با net use پیش از مقایسه پاک کنید تا نشست قدیمی به‌جای نشست تازه پاسخ ندهد.

از حساب نام‌دار استفاده کنید و امضا را حفظ کنید

راه‌حل پایدار حسابی است که سرور می‌شناسد، به‌صراحت ارائه شده، در حالی که خط‌مشی امضا و رمزنگاری دست‌نخورده می‌ماند. اعتبارنامه را روی اتصال بدهید، نه اینکه نامی تصادفی در کادر گفت‌وگو تایپ کنید.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

ورود نام‌دار نشستی می‌سازد که سرور می‌تواند آن را حسابرسی کند، و Get-SmbConnection گویش و فعال بودن امضا را نشان می‌دهد. نشست‌های مهمان نمی‌توانند الزامات امضا یا رمزنگاری را برآورده کنند، پس فعال کردن پرچم مهمان نمی‌تواند خط‌مشی‌ای را نجات دهد که آن‌ها را می‌طلبد. جایی که دستگاه قدیمی مدل حساب ندارد، دسترسی مهمان را استثنایی صریح و مستند با برنامه جایگزینی بدانید. امضا را برای هر اتصال سست نکنید تا به یک دستگاه پاسخ دهید.

وقتی دستگاه فقط مهمان می‌شناسد

برخی جعبه‌های NAS مصرفی اشتراک‌هایی بدون هیچ مفهوم حساب ارائه می‌دهند، که دو گزینه صادقانه باقی می‌گذارد: دستگاه را جدا کنید یا جایگزینش کنید. آن را در بخشی بگذارید که به هیچ چیز حساسی مسیر ندارد و نگذارید یک استثنای راحتی به پیش‌فرض کل کلاینت تبدیل شود. اشتراک مهمانی که نسخه‌های پشتیبان یا اعتبارنامه‌ها را نگه می‌دارد مسئله افشای داده است، نه آزار ویندوز. اگر به‌روزرسانی میان‌افزار حساب‌های کاربری بیفزاید، آن پاسخ ارزان‌تر بلندمدت است.

حساب پذیرفته‌شده و مقادیر خط‌مشی را در تیکت ثبت کنید. در غیر این صورت نفر بعدی آزمون تونل را دوباره اجرا می‌کند و به همان رد شدن می‌رسد.