SMB სტუმრის შესვლა VPN-ის გავლით: Windows კვლავ იდენტობას მოითხოვს

ოფისის VPN-ზე მიერთება ფაილურ სერვერს ხელმისაწვდომს ხდის და მაინც გაზიარება უარყოფს წვდომას, რაც იმ დასკვნამდე მივყავართ, თითქოს გვირაბი გატეხილია. ჩვეულებრივ ასე არ არის. SMB თითოეულ სესიას ცალკე ავთენტიფიცირებს, და Windows სულ უფრო ამკაცრებს იმას, რასაც ანონიმურ შესვლად იღებს. ქსელური გზა და მომხმარებლის იდენტობა სხვადასხვა მოთხოვნაა, და შეცდომა მეორეს ეხება.

რატომ ვერ შეცვლის გვირაბი SMB იდენტობას

სერვერთან ქვექსელის გაზიარება არასოდეს ნიშნავდა მისი ფაილების წაკითხვის ნებართვას; ის მხოლოდ მარშრუტიზაციის პრობლემას აშორებს. Windows აფიქსირებს მოვლენას 31017, როცა მისი კლიენტი ბლოკავს არაუსაფრთხო სტუმრის შესვლას, და ეს გადაწყვეტილება თქვენს მანქანაზე მიიღება, არა სერვერზე. გვირაბი ერთგულად გადააქვს SMB პაკეტებს, სანამ სტუმრის სესია უარყოფილია. ამიტომ ერთი ლეპტოპი იდენტურ სახლის ქსელებში მუშაობს, მეორე კი არა.

მოვლენას პოლიტიკის მტკიცებულებად მოეკიდეთ და არა ქსელის გაუმართაობად. გასწორება იდენტობაში ან თავად მოწყობილობაშია.

წაიკითხეთ კლიენტის პოლიტიკა და უარყოფის მოვლენა

ორი გამონატანი სწრაფად წყვეტს საკითხს: კლიენტის მოქმედი კონფიგურაცია და ბოლოდროინდელი უარყოფის მოვლენები.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

ცრუ სტუმრის პარამეტრი ხელმოწერის მოთხოვნასთან ერთად ხსნის წარუმატებლობას ნებისმიერ შემდგომ გამოძიებამდე. მოვლენათა ჟურნალი ადასტურებს, რომ კლიენტმა უარყო სესია და არა სერვერმა უარყო სერტიფიკატი. ჩაწერეთ გაზიარების გზა და ანგარიში, რომლებიც გამოყენებულ იქნა სხვა მანქანაზე წარმატებულ ცდაში, რადგან ქეშირებულმა სესიამ შეიძლება ორი ტესტი იდენტურად აჩვენოს, როცა ისინი ასეთი არ არიან. გაასუფთავეთ არსებული კავშირები net use-ით შედარებამდე, რომ ძველმა სესიამ ახლის ნაცვლად არ უპასუხოს.

გამოიყენეთ სახელდებული ანგარიში და შეინარჩუნეთ ხელმოწერა

გამძლე გადაწყვეტაა ანგარიში, რომელიც სერვერმა იცის, ცხადად მოწოდებული, ხოლო ხელმოწერისა და დაშიფვრის პოლიტიკა უცვლელი რჩება. მიაწოდეთ სერტიფიკატი კავშირზე, ნაცვლად იმისა, რომ დიალოგში შემთხვევითი სახელი აკრიფოთ.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

სახელდებული შესვლა ქმნის სესიას, რომელიც სერვერს შეუძლია აუდიტი გაუწიოს, და Get-SmbConnection აჩვენებს დიალექტს და იმას, არის თუ არა ხელმოწერა აქტიური. სტუმრის სესიები ვერ აკმაყოფილებენ ხელმოწერისა და დაშიფვრის მოთხოვნებს, ამიტომ სტუმრის დროშის ჩართვა ვერ იხსნის პოლიტიკას, რომელიც მათ მოითხოვს. სადაც ძველ მოწყობილობას ანგარიშების მოდელი არ აქვს, სტუმრის წვდომა განიხილეთ როგორც ცხადად დოკუმენტირებული გამონაკლისი ჩანაცვლების გეგმით. ნუ შეასუსტებთ ხელმოწერას ყველა კავშირზე ერთი მოწყობილობის გამო.

როცა მოწყობილობა მხოლოდ სტუმარს იცნობს

ზოგიერთი სამომხმარებლო NAS ყუთი გვთავაზობს გაზიარებებს ანგარიშის ცნების გარეშე, რაც ტოვებს ორ პატიოსან ვარიანტს: მოწყობილობის იზოლირება ან ჩანაცვლება. მოათავსეთ ის სეგმენტში, საიდანაც მგრძნობიარე არაფერთან გზა არ არის, და ნუ დაუშვებთ, რომ მოხერხებულობის გამონაკლისი მთელი კლიენტის ნაგულისხმევი გახდეს. სარეზერვო ასლების ან სერტიფიკატების შემცველი სტუმრის გაზიარება მონაცემთა გამჟღავნების პრობლემაა და არა Windows-ის შეწუხება. თუ firmware-ის განახლება დაამატებს მომხმარებლის ანგარიშებს, ეს უფრო იაფი გრძელვადიანი პასუხია.

ჩაწერეთ მიღებული ანგარიში და პოლიტიკის მნიშვნელობები ბილეთში. თორემ შემდეგი ადამიანი ხელახლა გაუშვებს გვირაბის ტესტს და იმავე უარყოფას მიაღწევს.