Login Tamu SMB lewat VPN: Windows tetap menuntut identitas

Menyambung ke VPN kantor membuat server file dapat dijangkau dan tetap saja share menolak akses, yang menggiring ke kesimpulan bahwa tunnel rusak. Biasanya bukan. SMB mengautentikasi setiap sesi secara terpisah, dan Windows semakin memperketat apa yang diterimanya sebagai login anonim. Jalur jaringan dan identitas pengguna adalah dua persyaratan yang berbeda, dan kesalahan ini menyangkut yang kedua.

Mengapa tunnel tidak bisa menggantikan identitas SMB

Berbagi subnet dengan server tidak pernah berarti izin membaca file-nya; itu hanya menghapus masalah perutean. Windows mencatat peristiwa 31017 ketika kliennya memblokir login tamu yang tidak aman, dan itu keputusan yang diambil di mesin Anda, bukan di server. Tunnel membawa paket SMB dengan setia sementara sesi tamu ditolak. Itulah sebabnya satu laptop di jaringan rumah yang identik berfungsi dan yang lain tidak.

Perlakukan peristiwa itu sebagai bukti kebijakan, bukan sebagai gangguan jaringan. Perbaikannya ada pada identitas atau pada perangkat.

Baca kebijakan klien dan peristiwa penolakan

Dua keluaran menyelesaikan pertanyaan dengan cepat: konfigurasi klien yang efektif dan peristiwa penolakan terbaru.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Setelan tamu yang salah digabung dengan persyaratan tanda tangan menjelaskan kegagalan sebelum penyelidikan lebih lanjut. Log peristiwa memastikan klien menolak sesi, bukan server menolak kredensial. Catat jalur share dan akun yang dipakai dalam percobaan berhasil di mesin lain, karena sesi yang di-cache dapat membuat dua pengujian tampak identik padahal tidak. Bersihkan koneksi yang ada dengan net use sebelum membandingkan, agar sesi lama tidak menjawab untuk yang baru.

Gunakan akun bernama dan pertahankan penandatanganan

Perbaikan yang tahan lama adalah akun yang dikenal server, diberikan secara eksplisit, dengan kebijakan tanda tangan dan enkripsi dibiarkan apa adanya. Berikan kredensial pada koneksi alih-alih mengetik nama acak di dialog.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Login bernama menghasilkan sesi yang dapat diaudit server, dan Get-SmbConnection menunjukkan dialek serta apakah penandatanganan aktif. Sesi tamu tidak dapat memenuhi persyaratan tanda tangan atau enkripsi, jadi mengaktifkan flag tamu tidak dapat menyelamatkan kebijakan yang menuntutnya. Bila perangkat lama tidak memiliki model akun, perlakukan akses tamu sebagai pengecualian eksplisit yang didokumentasikan dengan rencana penggantian. Jangan melemahkan penandatanganan pada setiap koneksi demi satu perangkat.

Ketika perangkat hanya mengenal tamu

Sebagian kotak NAS konsumen mengekspos share tanpa konsep akun sama sekali, sehingga tersisa dua pilihan jujur: isolasi perangkat atau ganti. Tempatkan pada segmen tanpa rute ke apa pun yang sensitif, dan jangan biarkan pengecualian kenyamanan menjadi default bagi seluruh klien. Share tamu yang menyimpan cadangan atau kredensial adalah masalah paparan data, bukan gangguan Windows. Jika pembaruan firmware menambahkan akun pengguna, itulah jawaban jangka panjang yang lebih murah.

Catat akun yang diterima dan nilai kebijakan di tiket. Jika tidak, orang berikutnya akan menjalankan ulang uji tunnel dan sampai pada penolakan yang sama.