Dħul mistieden SMB fuq VPN: Windows għadu jrid identità

Li tingħaqad mal-VPN tal-uffiċċju jagħmel is-server tal-fajls aċċessibbli u xorta l-qsim jibqa' jirrifjuta aċċess, li jwassal għall-konklużjoni li t-tunnel huwa miksur. Normalment mhuwiex. SMB jawtentika kull sessjoni b'mod separat, u Windows ilu jagħmel aktar stretti dak li jaċċetta bħala dħul anonimu. Mogħdija tan-netwerk u identità tal-utent huma rekwiżiti differenti, u l-iżball huwa dwar it-tieni waħda.

Għaliex it-tunnel ma jistax jieħu post identità SMB

Li taqsam subnetwork ma' server qatt ma fisser permess li taqra l-fajls tiegħu; dan ineħħi biss il-problema tal-irrotar. Windows jirreġistra l-avveniment 31017 meta l-klijent tiegħu jimblokka dħul mistieden mhux sigur, u dik hija deċiżjoni meħuda fuq il-magna tiegħek, mhux fuq is-server. It-tunnel iġorr il-pakketti SMB b'mod fidil waqt li s-sessjoni tal-mistieden tiġi rrifjutata. Huwa għalhekk li laptop wieħed fuq netwerks tad-dar identiċi jaħdem u ieħor le.

Qis l-avveniment bħala prova ta' politika, mhux bħala ħsara tan-netwerk. It-tiswija tinsab fl-identità jew fl-apparat.

Aqra l-politika tal-klijent u l-avveniment tar-rifjut

Żewġ outputs isolvu l-kwistjoni malajr: il-konfigurazzjoni effettiva tal-klijent u l-avvenimenti reċenti tar-rifjut.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Setting tal-mistieden falza flimkien ma' rekwiżit ta' firma jispjega l-falliment qabel kwalunkwe investigazzjoni oħra. Il-log tal-avvenimenti jikkonferma li l-klijent irrifjuta s-sessjoni, mhux li s-server irrifjuta kredenzjali. Innota l-mogħdija tal-qsim u l-kont użati fi prova b'suċċess fuq magna oħra, għax sessjoni fil-cache tista' tagħmel żewġ testijiet jidhru identiċi meta mhumiex. Naddaf il-konnessjonijiet eżistenti bil-net use qabel ma tqabbel, sabiex sessjoni qadima ma tweġibx għall-ġdida.

Uża kont bl-isem u żomm il-firma

Is-soluzzjoni dejjiema hija kont li s-server jaf, mogħti b'mod espliċitu, bil-politika tal-firma u l-kriptaġġ titħalla kif inhi. Ipprovdi l-kredenzjali fuq il-konnessjoni minflok ma ttajpja isem każwali fid-djalogu.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Dħul bl-isem jipproduċi sessjoni li s-server jista' jawdita, u Get-SmbConnection juri d-djalett u jekk il-firma hijiex attiva. Is-sessjonijiet tal-mistieden ma jistgħux jissodisfaw rekwiżiti ta' firma jew kriptaġġ, għalhekk li tixgħel bandiera tal-mistieden ma tistax issalva politika li titlobhom. Fejn apparat qadim m'għandux mudell ta' kontijiet, qis l-aċċess tal-mistieden bħala eċċezzjoni espliċita u dokumentata b'pjan ta' sostituzzjoni. Tiddgħajjifx il-firma fuq kull konnessjoni biex tilqa' apparat wieħed.

Meta l-apparat jaf biss lill-mistieden

Xi kaxxi NAS tal-konsumatur jesponu qsim mingħajr ebda kunċett ta' kont, li jħalli żewġ għażliet onesti: iżola l-apparat jew ibdlu. Poġġih fuq segment mingħajr rotta għal xejn sensittiv, u tħallix eċċezzjoni ta' kumdità ssir il-valur prestabbilit għall-klijent kollu. Qsim tal-mistieden li jżomm backups jew kredenzjali hija problema ta' espożizzjoni tad-data, mhux fastidju ta' Windows. Jekk aġġornament tal-firmware jżid kontijiet tal-utent, dik hija t-tweġiba irħas fit-tul.

Irreġistra l-kont aċċettat u l-valuri tal-politika fit-ticket. Inkella l-persuna li jmiss terġa' tmexxi t-test tat-tunnel u tasal għall-istess rifjut.