SMB-gastoanmelding oer VPN: Windows wol noch altyd in identiteit

It ferbinen mei it kantoar-VPN makket de triemtsjinner berikber en dochs wegeret de diele tagong, wat ta de konklúzje liedt dat de tunnel stikkene is. Meastentiids is dat net sa. SMB autentisearret elke sesje apart, en Windows hat hieltyd strangere easken oan wat it as anonime oanmelding akseptearret. In netwurkpaad en in brûkersidentiteit binne ferskillende easken, en it giet by de flater om de twadde.

Wêrom't de tunnel gjin SMB-identiteit ferfange kin

In subnet diele mei in tsjinner hat noait tastimming betsjut om syn triemmen te lêzen; it hellet allinnich it routeringsprobleem fuort. Windows registrearret barren 31017 as syn kliïnt in ûnfeilige gastoanmelding blokket, en dat is in beslút op jo masine, net op de tsjinner. De tunnel ferfiert SMB-pakketten trou, wylst de gastsessje wegere wurdt. Dêrom wurket de iene laptop op identike thúsnetwurken en de oare net.

Besjoch it barren as bewiis fan in belied, net as in netwurkstoaring. De oplossing sit yn 'e identiteit of yn it apparaat.

Lês it kliïntbelied en it wegeringsbarren

Twa útfieringen besljochtsje de fraach fluch: de effektive kliïntkonfiguraasje en de resinte wegeringsbarrenen.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

In falske gastynstelling tegearre mei in eask foar ûndertekening ferklearret it mislearjen foar't der ekstra ûndersyk nedich is. It barrenloch befêstiget dat de kliïnt de sesje wegere hat, net dat de tsjinner in legitimaasje wegere. Skriuw it dielepaad en it account op dat brûkt waard by in wurkjende poging op in oare masine, want in cache-sesje kin twa tests identyk lykje litte wylst se dat net binne. Wiskje besteande ferbiningen mei net use foar't jo fergelykje, sadat in âlde sesje net foar de nije antwurdet.

Brûk in neamd account en hâld de ûndertekening

De duorsume oplossing is in account dat de tsjinner ken, eksplisyt oanjûn, wylst it belied foar ûndertekening en fersifering gewoan bliuwt. Jou de legitimaasje op de ferbining ynstee fan in willekeurige namme yn 'e dialooch te typen.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

In neamde oanmelding leveret in sesje dy't de tsjinner kontrolearje kin, en Get-SmbConnection lit it dialekt en oft ûndertekening aktyf is sjen. Gastsessjes kinne net foldwaan oan easken foar ûndertekening of fersifering, dus in gastflagge oansette kin gjin belied rêde dat dy easket. Wêr't in ferâldere apparaat gjin accountmodel hat, behannelje gasttagong as in eksplisyt dokumintearre útsûndering mei in ferfangingsplan. Swakje de ûndertekening net foar elke ferbining ôf om ien apparaat te pas te meitsjen.

As it apparaat allinnich gast ken

Guon konsumint-NAS-kasten biede dielen sûnder in accountbegryp, wat twa earlike opsjes lit: isolearje it apparaat of ferfange it. Set it op in segmint sûnder rûte nei eat gefoeligs, en lit in maklikensútsûndering net de standert wurde foar de hiele kliïnt. In gastdiel mei back-ups of legitimaasjes is in probleem fan databloatstelling, net in Windows-ergernis. As in firmwarefernijing brûkersaccounts tafoeget, is dat it goedkeapere antwurd op 'e lange termyn.

Skriuw it akseptearre account en de beliedswaarden yn it ticket. Oars sil de folgjende persoan de tunneltest op 'e nij útfiere en by deselde wegering útkomme.