Hyrje mysafire SMB përmes VPN: Windows kërkon ende një identitet

Lidhja me VPN-në e zyrës e bën serverin e skedarëve të arritshëm dhe megjithatë ndarja vazhdon të refuzojë aksesin, gjë që të shtyn të konkludosh se tuneli është prishur. Zakonisht nuk është. SMB vërteton çdo sesion veçmas, dhe Windows po bëhet gjithnjë më i rreptë për atë që pranon si hyrje anonime. Një shteg rrjeti dhe një identitet përdoruesi janë kërkesa të ndryshme, dhe gabimi ka të bëjë me të dytën.

Pse tuneli nuk mund të zëvendësojë një identitet SMB

Ndarja e një nënrrjete me një server nuk ka nënkuptuar kurrë leje për të lexuar skedarët e tij; thjesht heq problemin e rrugëzimit. Windows regjistron ngjarjen 31017 kur klienti i tij bllokon një hyrje mysafire të pasigurt, dhe ky është një vendim i marrë në makinën tuaj, jo në server. Tuneli i transporton paketat SMB me besnikëri ndërsa sesioni mysafir refuzohet. Kjo është arsyeja pse një laptop në rrjete shtëpiake identike funksionon dhe një tjetër jo.

Trajtojeni ngjarjen si provë e një politike, jo si defekt rrjeti. Rregullimi qëndron te identiteti ose te pajisja.

Lexoni politikën e klientit dhe ngjarjen e refuzimit

Dy dalje e zgjidhin shpejt çështjen: konfigurimi efektiv i klientit dhe ngjarjet e fundit të refuzimit.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Një cilësim mysafir i rremë i kombinuar me një kërkesë nënshkrimi e shpjegon dështimin para çdo hetimi të mëtejshëm. Regjistri i ngjarjeve konfirmon se klienti e refuzoi sesionin, jo se serveri refuzoi një kredencial. Shënoni shtegun e ndarjes dhe llogarinë e përdorur në një provë të suksesshme në një makinë tjetër, sepse një sesion i ruajtur në cache mund t'i bëjë dy teste të duken identike kur nuk janë. Pastroni lidhjet ekzistuese me net use para se të krahasoni, që një sesion i vjetër të mos përgjigjet në vend të atij të ri.

Përdorni një llogari me emër dhe mbani nënshkrimin

Zgjidhja e qëndrueshme është një llogari që serveri e njeh, e dhënë në mënyrë eksplicite, me politikën e nënshkrimit dhe kriptimit të paprekur. Jepni kredencialin në lidhje në vend që të shkruani një emër të rastësishëm në dialog.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Një hyrje me emër prodhon një sesion që serveri mund ta auditojë, dhe Get-SmbConnection tregon dialektin dhe nëse nënshkrimi është aktiv. Sesionet mysafire nuk mund të përmbushin kërkesat e nënshkrimit ose kriptimit, kështu që aktivizimi i një flamuri mysafir nuk mund të shpëtojë një politikë që i kërkon ato. Kur një pajisje e vjetër nuk ka model llogarish, trajtojeni aksesin mysafir si një përjashtim të dokumentuar shprehimisht me një plan zëvendësimi. Mos e dobësoni nënshkrimin në çdo lidhje për të përshtatur një pajisje të vetme.

Kur pajisja njeh vetëm mysafirin

Disa kuti NAS konsumatore ekspozojnë ndarje pa asnjë koncept llogarie, gjë që lë dy opsione të ndershme: izoloni pajisjen ose zëvendësojeni. Vendoseni në një segment pa rrugë drejt asgjëje të ndjeshme dhe mos lejoni që një përjashtim komoditeti të bëhet parazgjedhja për të gjithë klientin. Një ndarje mysafire që mban kopje rezervë ose kredenciale është problem i ekspozimit të të dhënave, jo shqetësim i Windows. Nëse një përditësim firmueri shton llogari përdoruesish, kjo është përgjigjja më e lirë afatgjatë.

Regjistroni llogarinë e pranuar dhe vlerat e politikës në tiketë. Përndryshe personi tjetër do të ekzekutojë përsëri testin e tunelit dhe do të arrijë të njëjtin refuzim.