SMB-gjestepålogging over VPN: Windows vil fortsatt ha en identitet

Å koble seg til kontorets VPN gjør filserveren tilgjengelig, og likevel avviser delingen tilgang, noe som leder til konklusjonen at tunnelen er ødelagt. Som regel er den ikke det. SMB autentiserer hver økt for seg, og Windows har stadig strammet inn hva det godtar som anonym pålogging. En nettverkssti og en brukeridentitet er forskjellige krav, og det er den andre feilen handler om.

Hvorfor tunnelen ikke kan erstatte en SMB-identitet

Å dele et subnett med en server har aldri betydd tillatelse til å lese filene dens; det fjerner bare ruteproblemet. Windows registrerer hendelse 31017 når klienten blokkerer en usikker gjestepålogging, og det er en beslutning som tas på din maskin og ikke på serveren. Tunnelen frakter SMB-pakker trofast mens gjesteøkten avvises. Derfor fungerer én bærbar PC på identiske hjemmenettverk og en annen ikke.

Behandle hendelsen som bevis på en policy, ikke som en nettverksfeil. Rettelsen ligger i identiteten eller i enheten.

Les klientpolicyen og avvisningshendelsen

To utdata avgjør spørsmålet raskt: den effektive klientkonfigurasjonen og de siste avvisningshendelsene.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

En falsk gjesteinnstilling kombinert med et krav om signering forklarer feilen før noen videre undersøkelse. Hendelsesloggen bekrefter at klienten avviste økten, og ikke at serveren avviste en legitimasjon. Noter dele-stien og kontoen som ble brukt i et vellykket forsøk på en annen maskin, for en bufret økt kan få to tester til å se identiske ut når de ikke er det. Fjern eksisterende tilkoblinger med net use før du sammenligner, slik at en gammel økt ikke svarer for den nye.

Bruk en navngitt konto og behold signeringen

Den varige løsningen er en konto serveren kjenner, oppgitt eksplisitt, mens policyen for signering og kryptering står urørt. Oppgi legitimasjonen på tilkoblingen i stedet for å skrive et tilfeldig navn i dialogen.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

En navngitt pålogging gir en økt serveren kan revidere, og Get-SmbConnection viser dialekten og om signeringen er aktiv. Gjesteøkter kan ikke oppfylle krav om signering eller kryptering, så et gjesteflagg kan ikke redde en policy som krever dem. Der en eldre enhet ikke har kontomodell, skal gjestetilgang behandles som et eksplisitt dokumentert unntak med en erstatningsplan. Ikke svekk signeringen for hver tilkobling for å imøtekomme én enhet.

Når enheten bare kjenner gjest

Noen forbruker-NAS-bokser eksponerer delinger uten noe kontobegrep, noe som etterlater to ærlige valg: isoler enheten eller bytt den ut. Sett den på et segment uten rute til noe følsomt, og ikke la et bekvemmelighetsunntak bli standarden for hele klienten. En gjestedeling med sikkerhetskopier eller legitimasjon er et problem med datalekkasje og ikke en Windows-irritasjon. Hvis en fastvareoppdatering legger til brukerkontoer, er det det billigere langsiktige svaret.

Registrer den godtatte kontoen og policyverdiene i saken. Ellers vil neste person kjøre tunnel-testen på nytt og komme til den samme avvisningen.