VPN-ээр SMB зочны нэвтрэлт: Windows одоо ч таних тэмдэг шаарддаг

Оффисын VPN-д холбогдоход файл сервер хүрэх боломжтой болдог ч хуваалцалт нэвтрэхийг үргэлжлүүлэн татгалздаг нь туннель эвдэрсэн гэсэн дүгнэлтэд хүргэдэг. Ихэвчлэн тийм биш. SMB сесс бүрийг тусад нь баталгаажуулдаг бөгөөд Windows нэргүй нэвтрэлт гэж юу хүлээн авахыг улам чангатгаж байна. Сүлжээний зам ба хэрэглэгчийн таних тэмдэг нь өөр өөр шаардлага, алдаа нь хоёр дахьд хамаарна.

Туннель яагаад SMB таних тэмдгийг орлож чадахгүй вэ

Сервертэй дэд сүлжээ хуваалцах нь түүний файлыг унших зөвшөөрөл гэсэн үг хэзээ ч байгаагүй; энэ нь зөвхөн чиглүүлэлтийн асуудлыг арилгадаг. Windows клиент нь аюулгүй бус зочны нэвтрэлтийг блоклоход 31017 үйл явдлыг бүртгэдэг бөгөөд энэ нь сервер дээр биш, таны машин дээр гаргасан шийдвэр юм. Туннель SMB пакетыг үнэнчээр зөөдөг боловч зочны сесс татгалзагддаг. Ижил гэрийн сүлжээнд нэг зөөврийн компьютер ажиллаж, нөгөө нь ажиллахгүй байгаа шалтгаан энэ.

Үйл явдлыг сүлжээний гэмтэл бус, бодлогын нотолгоо гэж үзээрэй. Залруулга нь таних тэмдэг эсвэл төхөөрөмж дотор байна.

Клиентийн бодлого ба татгалзсан үйл явдлыг уншаарай

Хоёр гаралт асуудлыг хурдан шийднэ: бодит клиентийн тохиргоо ба сүүлийн үеийн татгалзсан үйл явдлууд.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Хуурамч зочны тохиргоо гарын үсгийн шаардлагатай хамт ямар ч нэмэлт шалгалтын өмнө алдааг тайлбарлана. Үйл явдлын лог нь сервер итгэмжлэл татгалзаагүй, харин клиент сессийг татгалзсаныг батална. Өөр машин дээр амжилттай оролдлогод хэрэглэсэн хуваалцах зам ба бүртгэлийг тэмдэглээрэй, учир нь кэшлэсэн сесс хоёр туршилтыг ижил харагдуулж болно, гэвч тэд ижил биш. Одоо байгаа холболтыг net use-ээр цэвэрлээд, дараа нь харьцуулаарай, хуучин сесс шинийн оронд хариу өгөхгүйн тулд.

Нэртэй бүртгэл ашиглаж, гарын үсгийг хадгал

Бат бөх шийдэл бол серверийн мэддэг бүртгэлийг тодорхой өгөх бөгөөд гарын үсэг, шифрлэлтийн бодлого хэвээр үлдэнэ. Итгэмжлэлийг диалогт санамсаргүй нэр бичихийн оронд холболт дээр өгөөрэй.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Нэртэй нэвтрэлт нь серверийн аудит хийж болох сессийг үүсгэдэг бөгөөд Get-SmbConnection диалект болон гарын үсэг идэвхтэй эсэхийг харуулна. Зочны сесс гарын үсэг эсвэл шифрлэлтийн шаардлагыг хангаж чадахгүй тул зочны туг идэвхжүүлэх нь тэдгээрийг шаардсан бодлогыг аварч чадахгүй. Хуучин төхөөрөмж бүртгэлийн загваргүй бол зочны хандалтыг орлуулах төлөвлөгөөтэй тодорхой баримтжуулсан үл хамаарах зүйл гэж үзээрэй. Нэг төхөөрөмжид нийцүүлэхийн тулд холболт бүр дээр гарын үсгийг сулруулж болохгүй.

Төхөөрөмж зөвхөн зочныг мэддэг үед

Зарим хэрэглэгчийн NAS хайрцаг бүртгэлийн ойлголтгүй хуваалцалтыг санал болгодог нь хоёр шударга сонголт үлдээдэг: төхөөрөмжийг тусгаарлах эсвэл солих. Үүнийг мэдрэмжтэй зүйл рүү чиглэлгүй сегментэд байрлуулж, тав тухын үл хамаарах зүйл бүх клиентийн өгөгдмөл болохыг бүү зөвшөөр. Нөөц хуулбар эсвэл итгэмжлэл агуулсан зочны хуваалцалт нь Windows-ийн төвөг биш, өгөгдөл ил болох асуудал юм. Хэрэв програм хангамжийн шинэчлэл хэрэглэгчийн бүртгэл нэмбэл энэ нь илүү хямд урт хугацааны хариулт.

Хүлээн авсан бүртгэл болон бодлогын утгыг тасалбарт тэмдэглээрэй. Эс бөгөөс дараагийн хүн туннелийн туршилтыг дахин ажиллуулж, мөн ижил татгалзалд хүрнэ.