Hostovské prihlásenie SMB cez VPN: Windows stále chce identitu

Pripojenie k firemnej VPN sprístupní súborový server a zdieľanie napriek tomu odmieta prístup, čo zvádza k záveru, že tunel je pokazený. Zvyčajne nie je. SMB overuje každú reláciu osobitne a Windows stále prísnejšie určuje, čo prijme ako anonymné prihlásenie. Sieťová cesta a identita používateľa sú rôzne požiadavky, a chyba sa týka tej druhej.

Prečo tunel nemôže nahradiť identitu SMB

Zdieľanie podsiete so serverom nikdy neznamenalo povolenie čítať jeho súbory; iba odstraňuje problém so smerovaním. Windows zaznamená udalosť 31017, keď jeho klient zablokuje nezabezpečené hostovské prihlásenie, a to je rozhodnutie na vašom počítači, nie na serveri. Tunel prenáša pakety SMB verne, zatiaľ čo hostovská relácia je odmietnutá. Preto jeden notebook v identických domácich sieťach funguje a iný nie.

Berte udalosť ako doklad politiky, nie ako sieťovú poruchu. Oprava patrí do identity alebo do zariadenia.

Prečítajte si klientsku politiku a udalosť odmietnutia

Dva výstupy otázku rýchlo vyriešia: skutočná klientska konfigurácia a nedávne udalosti odmietnutia.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Falošné hostovské nastavenie v kombinácii s požiadavkou na podpis vysvetľuje zlyhanie pred akýmkoľvek ďalším vyšetrovaním. Protokol udalostí potvrdzuje, že reláciu odmietol klient, a nie že server odmietol prihlasovací údaj. Poznamenajte si cestu k zdieľaniu a účet použité pri úspešnom pokuse na inom počítači, pretože relácia v medzipamäti môže dva testy vykresliť ako rovnaké, keď rovnaké nie sú. Vymažte existujúce pripojenia pomocou net use pred porovnaním, aby stará relácia neodpovedala za novú.

Použite pomenovaný účet a podpis ponechajte

Trvalým riešením je účet, ktorý server pozná, výslovne zadaný, so zachovanou politikou podpisu a šifrovania. Odovzdajte prihlasovací údaj v pripojení namiesto písania náhodného mena do dialógu.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Pomenované prihlásenie vytvorí reláciu, ktorú server môže auditovať, a Get-SmbConnection ukazuje dialekt a či je podpis aktívny. Hostovské relácie nemôžu splniť požiadavky na podpis alebo šifrovanie, takže zapnutie hostovského príznaku nemôže zachrániť politiku, ktorá ich vyžaduje. Ak staršie zariadenie nemá model účtov, berte hostovský prístup ako výslovne zdokumentovanú výnimku s plánom výmeny. Neoslabujte podpis pri každom pripojení kvôli jednému zariadeniu.

Keď zariadenie pozná len hosťa

Niektoré spotrebiteľské NAS boxy ponúkajú zdieľania bez akéhokoľvek pojmu účtu, čo necháva dve čestné možnosti: zariadenie izolovať alebo vymeniť. Umiestnite ho do segmentu bez trasy k čomukoľvek citlivému a nedovoľte, aby sa výnimka pre pohodlie stala predvolenou pre celého klienta. Hostovské zdieľanie so zálohami alebo prihlasovacími údajmi je problém úniku údajov, nie obťažovanie Windows. Ak aktualizácia firmvéru pridá používateľské účty, je to lacnejšia dlhodobá odpoveď.

Zaznamenajte prijatý účet a hodnoty politiky do tiketu. Inak ďalší človek znova spustí test tunela a dospeje k rovnakému odmietnutiu.