SMB-gjestepålogging over VPN: Windows vil framleis ha ein identitet

Å kople seg til kontorets VPN gjer filserveren tilgjengeleg, og likevel avviser delinga tilgang, noko som leier til slutninga at tunnelen er øydelagd. Som regel er han ikkje det. SMB autentiserer kvar økt for seg, og Windows har stadig stramma inn kva det godtek som anonym pålogging. Ein nettverkssti og ein brukaridentitet er ulike krav, og det er den andre feilen handlar om.

Kvifor tunnelen ikkje kan erstatte ein SMB-identitet

Å dele eit subnett med ein server har aldri tydd løyve til å lese filene hans; det fjernar berre ruteproblemet. Windows registrerer hending 31017 når klienten hans blokkerer ei utrygg gjestepålogging, og det er ei avgjerd som blir teken på maskina di og ikkje på serveren. Tunnelen fraktar SMB-pakkar trutt medan gjesteøkta blir avvist. Difor fungerer éin berbar PC på identiske heimenettverk og ein annan ikkje.

Behandle hendinga som prov på ein policy, ikkje som ein nettverksfeil. Rettinga ligg i identiteten eller i eininga.

Les klientpolicyen og avvisingshendinga

To utdata avgjer spørsmålet raskt: den effektive klientkonfigurasjonen og dei siste avvisingshendingane.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Ei falsk gjesteinnstilling saman med eit krav om signering forklarer feilen før noka vidare gransking. Hendingsloggen stadfester at klienten avviste økta, og ikkje at serveren avviste ein legitimasjon. Noter delingsstien og kontoen som vart brukte i eit vellukka forsøk på ei anna maskin, for ei bufra økt kan få to testar til å sjå identiske ut når dei ikkje er det. Fjern eksisterande tilkoplingar med net use før du samanliknar, slik at ei gammal økt ikkje svarar for den nye.

Bruk ein namngjeven konto og hald på signeringa

Den varige løysinga er ein konto serveren kjenner, oppgjeven eksplisitt, medan policyen for signering og kryptering står urørt. Oppgje legitimasjonen på tilkoplinga i staden for å skrive eit tilfeldig namn i dialogen.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Ei namngjeven pålogging gir ei økt serveren kan revidere, og Get-SmbConnection viser dialekten og om signeringa er aktiv. Gjesteøkter kan ikkje oppfylle krav om signering eller kryptering, så eit gjesteflagg kan ikkje redde ein policy som krev dei. Der ei eldre eining ikkje har kontomodell, skal gjestetilgang behandlast som eit eksplisitt dokumentert unntak med ein erstatningsplan. Ikkje svekk signeringa for kvar tilkopling for å imøtekome éi eining.

Når eininga berre kjenner gjest

Nokre forbrukar-NAS-boksar eksponerer delingar utan noko kontoomgrep, noko som etterlèt to ærlege val: isoler eininga eller byt henne ut. Set henne på eit segment utan rute til noko følsamt, og ikkje la eit komfortunntak bli standarden for heile klienten. Ei gjestedeling med tryggingskopiar eller legitimasjon er eit problem med datalekkasje og ikkje ein Windows-irritasjon. Viss ein fastvareoppdatering legg til brukarkontoar, er det det billegare langsiktige svaret.

Registrer den godtekne kontoen og policyverdiane i saka. Elles vil neste person køyre tunnel-testen på nytt og kome til den same avvisinga.