Gostujoča prijava SMB prek VPN: Windows še vedno zahteva identiteto

Povezava z VPN pisarne naredi strežnik datotek dosegljiv, skupna raba pa vseeno zavrača dostop, kar vabi k sklepu, da je tunel pokvarjen. Običajno ni. SMB avtenticira vsako sejo posebej, Windows pa vse strožje določa, kaj sprejme kot anonimno prijavo. Omrežna pot in uporabniška identiteta sta različni zahtevi, in napaka se nanaša na drugo.

Zakaj tunel ne more nadomestiti identitete SMB

Skupna raba podomrežja s strežnikom nikoli ni pomenila dovoljenja za branje njegovih datotek; odpravi le težavo usmerjanja. Windows zabeleži dogodek 31017, ko njegov odjemalec blokira nevarno gostujočo prijavo, in to je odločitev na vašem računalniku, ne na strežniku. Tunel zvesto prenaša pakete SMB, medtem ko je gostujoča seja zavrnjena. Zato en prenosnik v enakih domačih omrežjih deluje, drug pa ne.

Dogodek obravnavajte kot dokaz pravilnika, ne kot omrežno okvaro. Popravek je v identiteti ali v napravi.

Preberite pravilnik odjemalca in dogodek zavrnitve

Dva izpisa hitro razrešita vprašanje: dejanska konfiguracija odjemalca in nedavni dogodki zavrnitve.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Napačna gostujoča nastavitev skupaj z zahtevo po podpisu pojasni neuspeh pred kakršno koli nadaljnjo preiskavo. Dnevnik dogodkov potrjuje, da je sejo zavrnil odjemalec, ne da je strežnik zavrnil poverilnico. Zabeležite pot do skupne rabe in račun, uporabljena v uspešnem poskusu na drugem računalniku, ker lahko predpomnjena seja naredi dva testa enaka, čeprav nista. Počistite obstoječe povezave z net use pred primerjavo, da stara seja ne odgovori namesto nove.

Uporabite imenovani račun in obdržite podpisovanje

Trajna rešitev je račun, ki ga strežnik pozna, izrecno podan, s pravilnikom podpisovanja in šifriranja nespremenjenim. Poverilnico podajte na povezavi, namesto da bi v pogovorno okno vtipkali naključno ime.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Imenovana prijava ustvari sejo, ki jo strežnik lahko revidira, in Get-SmbConnection prikaže dialekt in ali je podpisovanje dejavno. Gostujoče seje ne morejo izpolniti zahtev po podpisovanju ali šifriranju, zato vklop gostujoče zastavice ne more rešiti pravilnika, ki jih zahteva. Kjer starejša naprava nima modela računov, gostujoči dostop obravnavajte kot izrecno dokumentirano izjemo z načrtom zamenjave. Ne oslabite podpisovanja na vsaki povezavi zaradi ene naprave.

Ko naprava pozna le gosta

Nekatere potrošniške škatle NAS ponujajo skupne rabe brez pojma računa, kar pušča dve pošteni možnosti: napravo izolirati ali zamenjati. Postavite jo v segment brez poti do česar koli občutljivega in ne dovolite, da bi izjema zaradi udobja postala privzeta za celotnega odjemalca. Gostujoča skupna raba s varnostnimi kopijami ali poverilnicami je težava razkritja podatkov, ne nadloga Windows. Če posodobitev strojne programske opreme doda uporabniške račune, je to cenejši dolgoročni odgovor.

Sprejeti račun in vrednosti pravilnika zapišite v zahtevek. Sicer bo naslednja oseba znova zagnala test tunela in prišla do enake zavrnitve.