SMB viesa pieteikšanās caur VPN: Windows joprojām pieprasa identitāti

Pieslēgšanās biroja VPN padara failu serveri sasniedzamu, un tomēr koplietojums atsaka piekļuvi, kas vedina secināt, ka tunelis ir bojāts. Parasti tas tā nav. SMB autentificē katru sesiju atsevišķi, un Windows arvien stingrāk nosaka, ko pieņem kā anonīmu pieteikšanos. Tīkla ceļš un lietotāja identitāte ir atšķirīgas prasības, un kļūda attiecas uz otro.

Kāpēc tunelis nevar aizstāt SMB identitāti

Apakštīkla koplietošana ar serveri nekad nav nozīmējusi atļauju lasīt tā failus; tā tikai novērš maršrutēšanas problēmu. Windows reģistrē notikumu 31017, kad tā klients bloķē nedrošu viesa pieteikšanos, un tas ir lēmums, kas pieņemts jūsu datorā, nevis serverī. Tunelis godprātīgi pārraida SMB paketes, kamēr viesa sesija tiek noraidīta. Tāpēc viens klēpjdators identiskos mājas tīklos strādā, bet cits ne.

Uztveriet notikumu kā politikas pierādījumu, nevis tīkla bojājumu. Labojums ir identitātē vai ierīcē.

Izlasiet klienta politiku un noraidīšanas notikumu

Divi izvadi ātri atrisina jautājumu: faktiskā klienta konfigurācija un jaunākie noraidīšanas notikumi.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Nepareizs viesa iestatījums kopā ar paraksta prasību izskaidro kļūmi pirms jebkādas turpmākas izmeklēšanas. Notikumu žurnāls apstiprina, ka klients noraidīja sesiju, nevis serveris noraidīja akreditācijas datus. Pierakstiet koplietojuma ceļu un kontu, kas izmantoti veiksmīgā mēģinājumā citā datorā, jo kešatmiņā saglabāta sesija var likt diviem testiem izskatīties identiskiem, kad tie tādi nav. Notīriet esošos savienojumus ar net use pirms salīdzināšanas, lai veca sesija neatbildētu jaunās vietā.

Izmantojiet nosauktu kontu un saglabājiet parakstu

Ilgtspējīgais risinājums ir konts, ko serveris pazīst, skaidri norādīts, kamēr paraksta un šifrēšanas politika paliek nemainīga. Nododiet akreditācijas datus savienojumā, nevis ierakstiet nejaušu vārdu dialoglodziņā.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Nosaukta pieteikšanās rada sesiju, ko serveris var auditēt, un Get-SmbConnection parāda dialektu un to, vai paraksts ir aktīvs. Viesa sesijas nevar izpildīt paraksta vai šifrēšanas prasības, tāpēc viesa karodziņa iespējošana nevar glābt politiku, kas tās pieprasa. Ja vecai ierīcei nav kontu modeļa, uzskatiet viesa piekļuvi par skaidri dokumentētu izņēmumu ar aizstāšanas plānu. Nevājiniet parakstu katrā savienojumā vienas ierīces dēļ.

Kad ierīce pazīst tikai viesi

Dažas patērētāju NAS kastes piedāvā koplietojumus bez jebkāda konta jēdziena, kas atstāj divas godīgas iespējas: izolēt ierīci vai to aizstāt. Novietojiet to segmentā bez maršruta uz kaut ko jutīgu un neļaujiet ērtības izņēmumam kļūt par visu klientu noklusējumu. Viesa koplietojums ar dublējumkopijām vai akreditācijas datiem ir datu atklāšanas problēma, nevis Windows neērtība. Ja aparātprogrammatūras atjauninājums pievieno lietotāju kontus, tā ir lētākā ilgtermiņa atbilde.

Ierakstiet pieņemto kontu un politikas vērtības biļetenā. Citādi nākamais cilvēks atkal palaidīs tuneļa testu un nonāks pie tā paša atteikuma.