Гостинска најава на SMB преку VPN: Windows сѐ уште бара идентитет

Поврзувањето со канцеларискиот VPN го прави серверот за датотеки достапен, а споделувањето сѐ уште одбива пристап, што води кон заклучок дека тунелот е расипан. Обично не е. SMB автентицира секоја сесија одделно, а Windows сѐ построго одредува што прифаќа како анонимна најава. Мрежната патека и идентитетот на корисникот се различни барања, а грешката се однесува на второто.

Зошто тунелот не може да го замени идентитетот на SMB

Споделувањето подмрежа со сервер никогаш не значело дозвола да се читаат неговите датотеки; тоа само го отстранува проблемот со рутирање. Windows го запишува настанот 31017 кога неговиот клиент блокира небезбедна гостинска најава, и тоа е одлука донесена на вашиот компјутер, а не на серверот. Тунелот верно пренесува SMB пакети додека гостинската сесија се одбива. Затоа еден преносен компјутер работи на идентични домашни мрежи, а друг не.

Третирајте го настанот како доказ за политика, а не како мрежен дефект. Поправката е во идентитетот или во уредот.

Прочитајте ја клиентската политика и настанот на одбивање

Два излеза брзо го решаваат прашањето: фактичката клиентска конфигурација и неодамнешните настани на одбивање.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Погрешна гостинска поставка заедно со барање за потпис го објаснува неуспехот пред каква било понатамошна истрага. Дневникот на настани потврдува дека клиентот ја одбил сесијата, а не дека серверот одбил акредитација. Забележете ја патеката до споделувањето и сметката користени во успешен обид на друг компјутер, бидејќи кеширана сесија може да направи два теста да изгледаат исти кога не се. Исчистете ги постојните врски со net use пред споредба, за да не одговара стара сесија наместо новата.

Користете именувана сметка и задржете го потписот

Трајното решение е сметка што серверот ја знае, дадена експлицитно, при што политиката за потпис и шифрирање останува непроменета. Дајте ги акредитациите на врската наместо да внесете случајно име во дијалогот.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Именуваната најава создава сесија што серверот може да ја ревидира, а Get-SmbConnection го покажува дијалектот и дали потписот е активен. Гостинските сесии не можат да ги задоволат барањата за потпис или шифрирање, така што вклучувањето гостинско знаменце не може да спаси политика што ги бара. Кога стар уред нема модел на сметки, третирајте го гостинскиот пристап како експлицитно документиран исклучок со план за замена. Не ослабувајте го потписот на секоја врска за да услужите еден уред.

Кога уредот познава само гостин

Некои потрошувачки NAS кутии нудат споделувања без никаков концепт на сметка, што остава две чесни опции: изолирајте го уредот или заменете го. Ставете го во сегмент без рута до ништо чувствително и не дозволувајте исклучок за удобност да стане стандард за целиот клиент. Гостинско споделување со резервни копии или акредитации е проблем со изложување на податоци, а не непријатност во Windows. Ако ажурирање на фирмверот додаде кориснички сметки, тоа е поевтиниот долгорочен одговор.

Запишете ја прифатената сметка и вредностите на политиката во тикетот. Инаку следниот човек повторно ќе го изврши тестот на тунелот и ќе дојде до истото одбивање.