SMB gostujuća prijava preko VPN-a: Windows i dalje traži identitet

Povezivanje na uredski VPN čini datotečni poslužitelj dostupnim, a dijeljenje i dalje odbija pristup, što navodi na zaključak da je tunel pokvaren. Obično nije. SMB autentificira svaku sesiju zasebno, a Windows sve strože određuje što prihvaća kao anonimnu prijavu. Mrežna putanja i korisnički identitet različiti su zahtjevi, a pogreška se odnosi na drugi.

Zašto tunel ne može zamijeniti SMB identitet

Dijeljenje podmreže s poslužiteljem nikada nije značilo dopuštenje za čitanje njegovih datoteka; ono samo uklanja problem usmjeravanja. Windows bilježi događaj 31017 kada njegov klijent blokira nesigurnu gostujuću prijavu, a to je odluka donesena na vašem računalu, ne na poslužitelju. Tunel vjerno prenosi SMB pakete dok se gostujuća sesija odbija. Zato jedan prijenosnik na identičnim kućnim mrežama radi, a drugi ne.

Tretirajte događaj kao dokaz politike, a ne kao mrežni kvar. Popravak je u identitetu ili u uređaju.

Pročitajte klijentsku politiku i događaj odbijanja

Dva izlaza brzo rješavaju pitanje: stvarna klijentska konfiguracija i nedavni događaji odbijanja.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Lažna gostujuća postavka u kombinaciji sa zahtjevom za potpisom objašnjava neuspjeh prije ikakve daljnje istrage. Dnevnik događaja potvrđuje da je klijent odbio sesiju, a ne da je poslužitelj odbio vjerodajnicu. Zabilježite putanju dijeljenja i račun korištene u uspješnom pokušaju na drugom računalu, jer predmemorirana sesija može učiniti dva testa identičnima kad nisu. Očistite postojeće veze pomoću net use prije usporedbe, kako stara sesija ne bi odgovarala za novu.

Upotrijebite imenovani račun i zadržite potpisivanje

Trajno rješenje je račun koji poslužitelj poznaje, izričito dostavljen, uz nepromijenjenu politiku potpisivanja i šifriranja. Dostavite vjerodajnicu na vezi umjesto upisivanja slučajnog imena u dijaloški okvir.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Imenovana prijava stvara sesiju koju poslužitelj može revidirati, a Get-SmbConnection pokazuje dijalekt i je li potpisivanje aktivno. Gostujuće sesije ne mogu zadovoljiti zahtjeve potpisivanja ili šifriranja, pa uključivanje gostujuće oznake ne može spasiti politiku koja ih zahtijeva. Gdje stariji uređaj nema model računa, tretirajte gostujući pristup kao izričito dokumentiranu iznimku s planom zamjene. Ne slabite potpisivanje za svaku vezu kako biste udovoljili jednom uređaju.

Kada uređaj poznaje samo gosta

Neke potrošačke NAS kutije izlažu dijeljenja bez pojma računa, što ostavlja dvije poštene mogućnosti: izolirajte uređaj ili ga zamijenite. Stavite ga u segment bez rute prema bilo čemu osjetljivom i ne dopustite da iznimka radi praktičnosti postane zadana za cijelog klijenta. Gostujuće dijeljenje sa sigurnosnim kopijama ili vjerodajnicama problem je izlaganja podataka, a ne smetnja u Windowsima. Ako ažuriranje firmvera doda korisničke račune, to je jeftiniji dugoročni odgovor.

Zabilježite prihvaćeni račun i vrijednosti politike u tiketu. Inače će sljedeća osoba ponovno pokrenuti test tunela i doći do istog odbijanja.