Гостујућа пријава SMB преко VPN-а: Windows и даље тражи идентитет

Повезивање на канцеларијски VPN чини сервер датотека доступним, а дељење ипак одбија приступ, што наводи на закључак да је тунел покварен. Обично није. SMB аутентификује сваку сесију одвојено, а Windows све строже одређује шта прихвата као анонимну пријаву. Мрежна путања и идентитет корисника су различити захтеви, а грешка се односи на други.

Зашто тунел не може да замени SMB идентитет

Дељење подмреже са сервером никада није значило дозволу за читање његових датотека; оно само уклања проблем рутирања. Windows бележи догађај 31017 када његов клијент блокира небезбедну гостујућу пријаву, и то је одлука донета на вашем рачунару, не на серверу. Тунел верно преноси SMB пакете док се гостујућа сесија одбија. Зато један преносиви рачунар ради на идентичним кућним мрежама, а други не.

Третирајте догађај као доказ политике, а не као мрежни квар. Поправка је у идентитету или у уређају.

Прочитајте клијентску политику и догађај одбијања

Два излаза брзо решавају питање: стварна клијентска конфигурација и недавни догађаји одбијања.

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

Погрешна гостујућа поставка заједно са захтевом за потпис објашњава неуспех пре било какве даље истраге. Дневник догађаја потврђује да је клијент одбио сесију, а не да је сервер одбио податке за пријаву. Забележите путању дељења и налог коришћене у успешном покушају на другом рачунару, јер кеширана сесија може учинити два теста истим када нису. Очистите постојеће везе помоћу net use пре поређења, да стара сесија не одговара уместо нове.

Користите именовани налог и задржите потпис

Трајно решење је налог који сервер зна, изричито достављен, уз непромењену политику потписа и шифровања. Доставите податке за пријаву на вези уместо да унесете случајно име у дијалог.

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

Именована пријава ствара сесију коју сервер може да ревидира, а Get-SmbConnection приказује дијалекат и да ли је потпис активан. Гостујуће сесије не могу да задовоље захтеве потписа или шифровања, па укључивање гостујуће заставице не може да спасе политику која их захтева. Тамо где стари уређај нема модел налога, третирајте гостујући приступ као изричито документован изузетак са планом замене. Не слабите потпис на свакој вези због једног уређаја.

Када уређај познаје само госта

Неке потрошачке NAS кутије нуде дељења без икаквог појма налога, што оставља две поштене опције: изоловати уређај или га заменити. Поставите га у сегмент без руте ка било чему осетљивом и не дозволите да изузетак ради удобности постане подразумевано за целог клијента. Гостујуће дељење са резервним копијама или подацима за пријаву је проблем излагања података, а не непријатност у Windows-у. Ако ажурирање фирмвера дода корисничке налоге, то је јефтинији дугорочни одговор.

Забележите прихваћени налог и вредности политике у тикету. Иначе ће следећа особа поново покренути тест тунела и доћи до истог одбијања.