Il-qsim SMB ifalli biss fuq il-VPN: problema ta’ firma jew ta’ subnetwork?

Qsim li jaħdem fuq il-LAN jista’ jfalli biss mill-mina. Issepara ċaħda ta’ firma, subnetwork li jaqsam għal fuq ieħor u sessjoni SMB qadima.

Diska mmappjata li taħdem fl-uffiċċju u taqbeż iż-żmien id-dar ftit tagħtik informazzjoni utli waħedha. Il-mina qed iġġorr pakketti b’mod ċar, inkella xejn ma jasal għas-server. Dak li falla jinsab f’wieħed minn tliet saffi: l-isem ġie riżolt għall-indirizz ħażin, il-klijent irrifjuta li jiffirma s-sessjoni, jew sessjoni qadima għexet aktar mill-konnessjoni li ġarrittha. Kull waħda għandha tiswija differenti, u tnejn mit-tlieta jinsabu fuq in-naħa tal-klijent.

Tliet fallimenti jilbsu l-istess żball

L-ittra tad-diska ma tgħidx liema saff inkiser, u t-test tal-iżball normalment huwa ġeneriku biżżejjed biex jaqbel mat-tlieta. Issepara bi tnejn mistoqsijiet malajr: is-server iwieġeb fuq l-indirizz IP tiegħu, u l-port 445 jaċċetta konnessjoni?

Dawk it-tweġibiet jagħtu tabella tad-deċiżjoni minflok suppożizzjoni. Jekk l-IP jaħdem u l-isem le, dan jindika r-riżoluzzjoni. Jekk it-tnejn jaħdmu u d-dħul jiġi miċħud, dan jindika l-firma. Jekk it-tnejn jaħdmu u l-qari ta’ fajl jibqa’ mdendel wara waqfa tal-mina, dan jindika sessjoni qadima.

SymptomLayer to inspect
IP works, hostname times outDNS or subnet overlap
TCP 445 opens, logon refusedSMB signing policy
Hangs after reconnectSession state and timers

Għaddihom għal dawn f’dik l-ordni, għax isem li jiġi riżolt għall-host ħażin jagħmel kull test sussegwenti mingħajr tifsira.

Irriżolvi l-isem qabel ma tmiss il-qsim

Jekk is-server iwieġeb fuq l-indirizz tiegħu u l-isem tal-qsim jaqbeż iż-żmien, il-mina qed tagħmel xogħolha u l-klijent qed ifittex fil-post ħażin. Fl-aċċess mill-bogħod, żewġ kawżi jispjegaw il-biċċa l-kbira ta’ dan.

L-ewwel hija sovrappożizzjoni ta’ indirizzi. Meta l-uffiċċju juża 192.168.70.0/24 u r-router tad-dar jagħti l-istess medda, isem ta’ host li jiġi riżolt għal 192.168.70.20 jista’ jindika apparat lokali minflok is-server wara l-mina. Windows imbagħad jista’ jibgħat it-talba lokalment, jirrifjuta r-rotta, jew jirriżolviha għal printer li għandu dak l-indirizz b’kumbinazzjoni. It-tiswija hija li tibdil in-numri fuq naħa waħda, mhux li żżid rotta oħra.

It-tieni hija l-ambitu tad-DNS. Adapter tal-VPN mingħajr server DNS intern, jew b’wieħed li ma jintlaħaqx mill-mina, iħalli ismijiet qosra jmorru għal resolver pubbliku. Aqra d-dħul tad-DNS tal-adapter u staqsi l-isem intern direttament qabel ma tmiss il-qsim:

> ipconfig /all | findstr /i "DNS Servers"
> nslookup files.corp.internal
Server: 10.90.0.2
Address: 10.90.0.2
Name: files.corp.internal
Address: 10.90.0.15

Jekk dik il-mistoqsija tirritorna l-indirizz mistenni, ir-riżoluzzjoni hija ċċarata u l-problema tinsab ogħla fil-munzell.

Aqra l-ħtieġa tal-firma fuq iż-żewġt trufijiet

Server aċċessibbli li jirrifjuta kull dħul huwa sinjal ta’ nuqqas ta’ qbil fil-politika u mhux ta’ ħsara fin-netwerk. Windows jista’ jesiġi l-firma SMB fuq il-klijent, u server jew NAS li ma jiffirmax ma jistax ilesti s-sessjoni, kemm tkun f’saħħitha l-mina.

Tista’ taqra s-setting tal-klijent mingħajr ma tfittex fl-editur tal-politika:

> Get-SmbClientConfiguration | Select-Object RequireSecuritySignature
RequireSecuritySignature
-------------------------
True
> Get-SmbConnection

Il-valur li jikkorrispondi fuq in-naħa tas-server jinsab fil-konfigurazzjoni SMB tas-server, u t-tnejn iridu jaqblu. F’każ wieħed rappurtat, il-klijent kellu l-ħtieġa attivata b’politika lokali filwaqt li s-server ma ffirmax xejn; l-iżattivazzjoni tagħha u t-tħaddim ta’ gpupdate /force reġġgħu l-qsim lura minnufih. Dan huwa pass dijanjostiku biex tikkonferma l-kawża, mhux tiswija permanenti.

Ippreferi li tixgħel il-firma fuq iż-żewġt trufijiet fejn is-server jappoġġjaha. Bidla f’setting tas-sigurtà biex jaħdem qsim għandha tiġi rrekordjata bil-valur preċedenti u r-raġuni, sabiex ħadd ma jkollu jiskopriha mill-ġdid fl-awditu li jmiss.

Naddaf is-sessjoni qadima qabel ma tirregola l-iskedi

Qsim li jibqa’ mdendel biss wara li l-VPN taqa’ u terġa’ tikkonnettja normalment iżomm sessjoni li s-server diġà warrab. Is-server jagħlaq is-sessjonijiet SMB inattivi bl-iskeda Autodisconnect taħt LanmanServer\Parameters, li b’mod awtomatiku hija 15-il minuta, filwaqt li l-klijent għandu l-SessTimeout tiegħu stess taħt LanmanWorkstation\Parameters. Waqfa itwal minn dawk il-valuri tħalli kull tarf b’idea differenti tas-sessjoni.

Irriproduċih f’ordni fissa sabiex ir-riżultat ikollu tifsira: qabbad il-mina, iftaħ il-qsim, aqta’ l-mina għal żewġ minuti, erġa’ stabbilixxiha, u mbagħad ipprova taqra fajl. Jekk il-muntatura tfiq waħedha, ħalli l-iskedi fil-kwiet. Jekk tibqa’ mdendla sakemm terġa’ mmonta, erġa’ qabbad il-qsim wara li l-mina tkun qiegħda minflok ma mmontaha qabel ma teżisti, u ċċekkja jekk l-assistent tal-muntatura jerġax jipprova.

Iż-żieda fil-limiti taż-żmien hija l-aħħar pass raġonevoli għal konnessjoni instabbli, imma tittratta s-sintomu. Klijent li jistenna aktar għal sessjoni li s-server nesa għadu qed jistenna.

Iffinalizza billi taqra fajl wieħed mill-muntatura, imbagħad taqta’ u terġa’ tistabbilixxi l-mina darba oħra. Dak it-test ta’ aċċettazzjoni jkopri t-tliet saffi kollha f’daqqa, u huwa l-uniku test li jaqbel ma’ dak li l-utent fil-fatt jagħmel.

Artikli relatati