SMB-vieraskirjautuminen VPN:n yli: Windows haluaa yhä identiteetin

Toimiston VPN:ään liittyminen tekee tiedostopalvelimesta tavoitettavan, ja silti jako kieltäytyy antamasta pääsyä, mikä houkuttelee johtopäätökseen, että tunneli on rikki. Yleensä ei ole. SMB todentaa jokaisen istunnon erikseen, ja Windows on kiristänyt sitä, mitä se hyväksyy anonyymiksi kirjautumiseksi. Verkkopolku ja käyttäjän identiteetti ovat eri vaatimuksia, ja virhe koskee jälkimmäistä.

Miksi tunneli ei voi korvata SMB-identiteettiä

Aliverkon jakaminen palvelimen kanssa ei ole koskaan tarkoittanut lupaa lukea sen tiedostoja; se poistaa vain reititysongelman. Windows kirjaa tapahtuman 31017, kun sen asiakas estää turvattoman vieraskirjautumisen, ja se on päätös, joka tehdään koneellasi eikä palvelimella. Tunneli välittää SMB-paketit uskollisesti, kun taas vierasistunto hylätään. Siksi yksi kannettava toimii identtisissä kotiverkoissa ja toinen ei.

Käsittele tapahtumaa todisteena käytännöstä, ei verkkohäiriönä. Korjaus on identiteetissä tai laitteessa.

Lue asiakasohjeisto ja hylkäystapahtuma

Kaksi tulostetta ratkaisee kysymyksen nopeasti: todellinen asiakasmääritys ja viimeisimmät hylkäystapahtumat.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Virheellinen vierasasetus yhdessä allekirjoitusvaatimuksen kanssa selittää epäonnistumisen ennen mitään lisätutkimuksia. Tapahtumaloki vahvistaa, että asiakas hylkäsi istunnon, ei että palvelin hylkäsi tunnistetiedon. Kirjaa jaon polku ja tili, jota käytettiin onnistuneessa yrityksessä toisella koneella, sillä välimuistiin tallennettu istunto voi saada kaksi testiä näyttämään samalta, vaikka ne eivät ole. Tyhjennä olemassa olevat yhteydet komennolla net use ennen vertailua, jotta vanha istunto ei vastaa uuden puolesta.

Käytä nimettyä tiliä ja pidä allekirjoitus

Kestävä korjaus on tili, jonka palvelin tuntee, annettuna nimenomaisesti, ja allekirjoitus- ja salauskäytäntö jätetään ennalleen. Anna tunnistetieto yhteydellä sen sijaan, että kirjoitat satunnaisen nimen valintaikkunaan.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Nimetty kirjautuminen tuottaa istunnon, jonka palvelin voi auditoida, ja Get-SmbConnection näyttää murteen ja sen, onko allekirjoitus käytössä. Vierasistunnot eivät voi täyttää allekirjoitus- tai salausvaatimuksia, joten vieraslipun käyttöönotto ei voi pelastaa käytäntöä, joka vaatii niitä. Kun vanhassa laitteessa ei ole tilimallia, kohtele vieraspääsyä nimenomaisesti dokumentoituna poikkeuksena, jolla on korvaussuunnitelma. Älä heikennä allekirjoitusta jokaisella yhteydellä yhden laitteen vuoksi.

Kun laite puhuu vain vierasta

Jotkin kuluttaja-NAS-laatikot tarjoavat jakoja ilman mitään tilikäsitettä, mikä jättää kaksi rehellistä vaihtoehtoa: eristä laite tai korvaa se. Sijoita se segmenttiin, josta ei ole reittiä mihinkään arkaluontoiseen, äläkä anna mukavuuspoikkeuksen tulla koko asiakkaan oletukseksi. Varmuuskopioita tai tunnistetietoja sisältävä vierasjako on tietojen paljastumisen ongelma, ei Windowsin harmi. Jos laiteohjelmistopäivitys lisää käyttäjätilejä, se on halvempi pitkän aikavälin vastaus.

Kirjaa hyväksytty tili ja käytännön arvot tikettiin. Muuten seuraava henkilö ajaa tunnelitestin uudelleen ja päätyy samaan hylkäykseen.