VPN аркылуу SMB конок кирүү: Windows дагы эле инсандыкты талап кылат

Кеңсе VPN'ине кошулуу файл серверин жеткиликтүү кылат, бирок бөлүшүү кирүүдөн баш тартат, бул туннель бузулган деген жыйынтыкка алып келет. Адатта андай эмес. SMB ар бир сессияны өзүнчө аутентификациялайт, ал эми Windows анонимдүү кирүү катары эмнени кабыл алаарын барган сайын катаалдатып келет. Тармак жолу жана колдонуучунун инсандыгы эки башка талап, ал эми ката экинчисине тиешелүү.

Эмне үчүн туннель SMB инсандыгын алмаштыра албайт

Сервер менен субтармакты бөлүшүү эч качан анын файлдарын окууга уруксат дегенди билдирген эмес; ал маршруттоо маселесин гана алып салат. Windows клиенти кооптуу эмес конок кирүүсүн тоскондо 31017 окуясын жазат, жана бул чечим серверде эмес, сиздин машинаңызда кабыл алынат. Туннель SMB пакеттерин ишенимдүү ташыйт, ал эми конок сессиясы четке кагылат. Ошондуктан бирдей үй тармактарында бир ноутбук иштейт, экинчиси иштебейт.

Окуяны тармактын бузулушу эмес, саясаттын далили катары караңыз. Оңдоо инсандыкта же түзмөктүн өзүндө.

Клиент саясатын жана баш тартуу окуясын окуңуз

Эки чыгарылыш маселени тез чечет: иш жүзүндөгү клиент конфигурациясы жана акыркы баш тартуу окуялары.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Жасалма конок параметри кол тамга талабы менен кошо ар кандай кошумча иликтөөдөн мурун ийгиликсиздикти түшүндүрөт. Окуя журналы сессияны клиент баш тартканын ырастайт, сервер эсептик маалыматтарды четке какканын эмес. Башка машинадагы ийгиликтүү аракетте колдонулган бөлүшүү жолун жана эсебин жазып алыңыз, анткени кэштеги сессия эки сыноону бирдей көрсөтүшү мүмкүн, бирок алар бирдей эмес. Бар байланыштарды net use аркылуу тазалаңыз, анан салыштырыңыз, эски сессия жаңысынын ордуна жооп бербеши үчүн.

Аталган эсепти колдонуңуз жана кол тамганы сактаңыз

Туруктуу чечим — сервер билген эсеп, ачык берилген, ал эми кол тамга жана шифрлоо саясаты өзгөрүүсүз калат. Эсептик маалыматты диалогго кокустан ат жазуунун ордуна байланышта бериңиз.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Аталган кирүү сервер текшере ала турган сессияны жаратат, жана Get-SmbConnection диалектини жана кол тамга активдүүбү экенин көрсөтөт. Конок сессиялары кол тамга же шифрлоо талаптарын канааттандыра албайт, ошондуктан конок желегин күйгүзүү аларды талап кылган саясатты куткара албайт. Эски түзмөктө эсеп модели жок болсо, конок кирүүсүн алмаштыруу планы менен ачык документтелген өзгөчөлүк катары караңыз. Бир түзмөккө ылайыкташуу үчүн ар бир байланышта кол тамганы алсыратпаңыз.

Түзмөк конокту гана билгенде

Айрым керектөөчү NAS кутучалары эсеп түшүнүгү жок бөлүшүүлөрдү сунуштайт, бул эки чынчыл вариантты калтырат: түзмөктү обочолонтуу же алмаштыруу. Аны сезимтал эч нерсеге маршруту жок сегментке коюңуз жана ыңгайлуулук өзгөчөлүгү бүт клиенттин демейкисине айланбасын. Камдык көчүрмөлөрдү же эсептик маалыматты кармаган конок бөлүшүүсү — Windows'тун дырдоосу эмес, маалыматтын ачылышы маселеси. Эгер прошивка жаңыртуу колдонуучу эсептерин кошсо, бул арзаныраак узак мөөнөттүү жооп.

Кабыл алынган эсепти жана саясаттын маанилерин билетке жазыңыз. Болбосо кийинки адам туннель сыноосун кайра жүргүзүп, ошол эле баш тартууга туш болот.