SMB-Gaschtumeldung iwwer VPN: Windows wëll ëmmer nach eng Identitéit

Sech mat dem Büro-VPN verbannen mécht de Fichierserver erreechbar an trotzdem refuséiert d'Deelung den Zougang, wat zu der Konklusioun verleet, den Tunnel wier futti. Meeschtens ass en dat net. SMB authentifizéiert all Sessioun eenzel, an Windows huet ëmmer méi streng festgeluecht, wat et als anonym Umeldung akzeptéiert. En Netzwierkwee an eng Benotzeridentitéit sinn ënnerschiddlech Ufuerderungen, an de Feeler geet ëm déi zweet.

Firwat den Tunnel keng SMB-Identitéit ersetze kann

En Ënnerscheed mat engem Server ze deelen huet ni d'Recht bedeit, seng Fichieren ze liesen; et hëlt just d'Routingproblem ewech. Windows registréiert d'Evenement 31017, wann säi Client eng onsécher Gaschtumeldung blockéiert, an dat ass eng Entscheedung op Ärem Apparat an net um Server. Den Tunnel iwwerdréit SMB-Pakken trei, während d'Gaschtsessioun refuséiert gëtt. Dofir funktionéiert ee Laptop an idengescheenen Heemnetzwierker an en aneren net.

Betracht d'Evenement als Beweis fir eng Politik, net als Netzwierkfehler. D'Korrektur läit an der Identitéit oder am Apparat.

Liest d'Clientpolitik an d'Refusensevenement

Zwee Ausgabe klären d'Fro séier: déi effektiv Clientkonfiguratioun an déi rezent Refusensevenementer.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Eng falsch Gaschtastellung zesumme mat enger Ënnerschrëftsfuerderung erkläert de Feeler virun all weiderer Enquête. D'Evenementsprotokoll bestätegt, datt de Client d'Sessioun refuséiert huet an net de Server eng Umeldungsinformatioun. Nottéiert de Deelungswee an de Compte, déi an engem erfollegräichen Versuch op engem aneren Apparat benotzt goufen, well eng gechachte Sessioun zwee Tester identesch ausgesinn kann, wann se et net sinn. Läscht déi existéierend Verbindunge mat net use virum Verglach, sou datt eng al Sessioun net fir déi nei äntwert.

Benotzt en benannten Compte a behält d'Ënnerschrëft

D'dauerhaft Léisung ass en Compte, deen de Server kennt, ausdrécklech uginn, während d'Politik fir Ënnerschrëft an Verschlësselung onberéiert bleift. Gitt d'Umeldungsinformatioun op der Verbindung, amplaz en zoufällegen Numm an den Dialog ze tippen.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Eng benannt Umeldung erzeecht eng Sessioun, déi de Server kann auditéieren, an Get-SmbConnection weist den Dialekt an ob d'Ënnerschrëft aktiv ass. Gaschtsessiounen kënnen d'Ufuerderungen un Ënnerschrëft oder Verschlësselung net erfëllen, also kann ee Gaschtflag eng Politik, déi se verlaangt, net retten. Wou en alen Apparat kee Comptemodell huet, behandelt de Gaschtzougang als ausdrécklech dokumentéiert Ausnam mat engem Ersatzplang. Schwächt d'Ënnerschrëft net op all Verbindung of, fir een eenzegen Apparat z'ënnerstëtzen.

Wann den Apparat nëmmen de Gascht kennt

E puer Konsumenten-NAS-Këschte bidden Deelungen ouni all Comptebegrëff, wat zwou éierlech Optioune léisst: den Apparat isoléieren oder ersetzen. Setzt en op en Segment ouni Route zu eppes Sensiblem, a loosst keng Bequemlechkeetsausnam zum Standard fir de ganzen Client ginn. Eng Gaschtdeelung mat Sécherungskopien oder Umeldungsinformatiounen ass e Problem vun der Datepreisgab an net e Windows-Ärger. Wann eng Firmwareaktualiséierung Benotzercompten derbäisetzt, ass dat déi méi bëlleg laangfristeg Äntwert.

Nottéiert de akzeptéierten Compte an d'Politikwäerter am Ticket. Soss wäert déi nächst Persoun den Tunneltest nach eng Kéier ausféieren an zur selwechter Refus kommen.