SMB svečio prisijungimas per VPN: Windows vis dar reikalauja tapatybės

Prisijungus prie biuro VPN, failų serveris tampa pasiekiamas, o bendrinimas vis tiek atsisako suteikti prieigą, kas skatina daryti išvadą, jog tunelis sugedęs. Paprastai taip nėra. SMB autentifikuoja kiekvieną sesiją atskirai, o Windows vis griežčiau nustato, ką priima kaip anoniminį prisijungimą. Tinklo kelias ir vartotojo tapatybė yra skirtingi reikalavimai, ir klaida susijusi su antruoju.

Kodėl tunelis negali pakeisti SMB tapatybės

Bendrinti potinklį su serveriu niekada nereiškė leidimo skaityti jo failus; tai tik pašalina maršrutizavimo problemą. Windows įrašo įvykį 31017, kai jo klientas blokuoja nesaugų svečio prisijungimą, ir tai sprendimas, priimtas jūsų kompiuteryje, o ne serveryje. Tunelis sąžiningai perduoda SMB paketus, kol svečio sesija atmetama. Štai kodėl vienas nešiojamasis kompiuteris identiškuose namų tinkluose veikia, o kitas ne.

Traktuokite įvykį kaip politikos įrodymą, o ne kaip tinklo gedimą. Pataisa yra tapatybėje arba įrenginyje.

Perskaitykite kliento politiką ir atmetimo įvykį

Dvi išvestys greitai išsprendžia klausimą: faktinė kliento konfigūracija ir naujausi atmetimo įvykiai.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Klaidingas svečio nustatymas kartu su parašo reikalavimu paaiškina gedimą prieš bet kokį tolesnį tyrimą. Įvykių žurnalas patvirtina, kad klientas atmetė sesiją, o ne serveris atmetė prisijungimo duomenis. Užsirašykite bendrinimo kelią ir paskyrą, naudotus sėkmingame bandyme kitame kompiuteryje, nes podėlyje laikyta sesija gali priversti du testus atrodyti vienodai, kai jie tokie nėra. Išvalykite esamus ryšius su net use prieš lygindami, kad sena sesija neatsakytų už naują.

Naudokite pavadintą paskyrą ir palikite parašą

Ilgalaikis sprendimas yra paskyra, kurią serveris žino, pateikta aiškiai, o parašo ir šifravimo politika paliekama nepakeista. Pateikite prisijungimo duomenis ryšyje, o ne įrašykite atsitiktinį vardą dialoge.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Pavadintas prisijungimas sukuria sesiją, kurią serveris gali audituoti, ir Get-SmbConnection rodo dialektą ir ar parašas aktyvus. Svečio sesijos negali atitikti parašo ar šifravimo reikalavimų, todėl svečio vėliavėlės įjungimas negali išgelbėti politikos, kuri jų reikalauja. Kai sename įrenginyje nėra paskyrų modelio, svečio prieigą laikykite aiškiai dokumentuota išimtimi su pakeitimo planu. Nesusilpninkite parašo kiekviename ryšyje dėl vieno įrenginio.

Kai įrenginys pažįsta tik svečią

Kai kurie vartotojiški NAS dėžutės siūlo bendrinimus be jokios paskyros sąvokos, todėl lieka du sąžiningi variantai: izoliuoti įrenginį arba jį pakeisti. Įdėkite jį į segmentą be maršruto į ką nors jautrų ir neleiskite patogumo išimčiai tapti viso kliento numatytuoju nustatymu. Svečio bendrinimas su atsarginėmis kopijomis ar prisijungimo duomenimis yra duomenų atskleidimo problema, o ne Windows nepatogumas. Jei programinės įrangos atnaujinimas prideda vartotojų paskyrų, tai pigesnis ilgalaikis atsakymas.

Užrašykite priimtą paskyrą ir politikos reikšmes biliete. Priešingu atveju kitas žmogus vėl paleis tunelio testą ir sulauks to paties atmetimo.