Logowanie gościa SMB przez VPN: Windows nadal chce tożsamości

Połączenie z VPN biura udostępnia serwer plików, a mimo to udział nadal odmawia dostępu, co skłania do wniosku, że tunel jest zepsuty. Zwykle nie jest. SMB uwierzytelnia każdą sesję osobno, a Windows coraz ostrzej określa, co przyjmuje jako logowanie anonimowe. Ścieżka sieciowa i tożsamość użytkownika to różne wymagania, a błąd dotyczy tego drugiego.

Dlaczego tunel nie może zastąpić tożsamości SMB

Współdzielenie podsieci z serwerem nigdy nie oznaczało pozwolenia na czytanie jego plików; usuwa tylko problem routingu. Windows zapisuje zdarzenie 31017, gdy jego klient blokuje niebezpieczne logowanie gościa, i jest to decyzja podjęta na twoim komputerze, a nie na serwerze. Tunel wiernie przenosi pakiety SMB, podczas gdy sesja gościa jest odrzucana. Dlatego jeden laptop w identycznych sieciach domowych działa, a inny nie.

Traktuj zdarzenie jako dowód istnienia zasady, a nie awarię sieci. Poprawka należy do tożsamości albo do urządzenia.

Przeczytaj zasady klienta i zdarzenie odmowy

Dwa wyniki szybko rozstrzygają sprawę: faktyczna konfiguracja klienta i ostatnie zdarzenia odmowy.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Fałszywe ustawienie gościa w połączeniu z wymogiem podpisu wyjaśnia niepowodzenie przed jakimkolwiek dalszym dochodzeniem. Dziennik zdarzeń potwierdza, że to klient odrzucił sesję, a nie serwer odrzucił poświadczenie. Zanotuj ścieżkę udziału i konto użyte w udanej próbie na innym komputerze, ponieważ sesja w pamięci podręcznej może sprawić, że dwa testy wyglądają identycznie, choć takie nie są. Wyczyść istniejące połączenia za pomocą net use przed porównaniem, aby stara sesja nie odpowiadała za nową.

Użyj nazwanego konta i zachowaj podpisywanie

Trwałym rozwiązaniem jest konto, które serwer zna, podane wprost, przy niezmienionych zasadach podpisywania i szyfrowania. Przekaż poświadczenie na połączeniu, zamiast wpisywać losową nazwę w oknie dialogowym.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Nazwane logowanie tworzy sesję, którą serwer może audytować, a Get-SmbConnection pokazuje dialekt i to, czy podpisywanie jest aktywne. Sesje gościa nie spełniają wymogów podpisywania ani szyfrowania, więc włączenie flagi gościa nie uratuje zasad, które ich wymagają. Tam, gdzie stare urządzenie nie ma modelu kont, traktuj dostęp gościa jako wyraźnie udokumentowany wyjątek z planem wymiany. Nie osłabiaj podpisywania na każdym połączeniu, aby dogodzić jednemu urządzeniu.

Gdy urządzenie zna tylko gościa

Niektóre konsumenckie obudowy NAS udostępniają udziały bez pojęcia konta, co pozostawia dwie uczciwe opcje: odizolować urządzenie albo je wymienić. Umieść je w segmencie bez trasy do niczego wrażliwego i nie pozwól, by wyjątek dla wygody stał się domyślnym ustawieniem całego klienta. Udział gościa z kopiami zapasowymi lub poświadczeniami to problem ujawnienia danych, a nie uciążliwość Windows. Jeśli aktualizacja oprogramowania sprzętowego doda konta użytkowników, to tańsza długoterminowa odpowiedź.

Zapisz przyjęte konto i wartości zasad w zgłoszeniu. Inaczej następna osoba ponownie uruchomi test tunelu i dojdzie do tej samej odmowy.