การล็อกออน SMB แบบเกสต์ผ่าน VPN: Windows ยังต้องการตัวตน

การเชื่อมต่อ VPN ของสำนักงานทำให้เข้าถึงไฟล์เซิร์ฟเวอร์ได้ แต่การแชร์ยังคงปฏิเสธการเข้าถึง ซึ่งชวนให้สรุปว่าอุโมงค์เสีย ปกติแล้วไม่ใช่ SMB ตรวจสอบสิทธิ์แต่ละเซสชันแยกจากกัน และ Windows เข้มงวดขึ้นเรื่อย ๆ กับสิ่งที่ยอมรับว่าเป็นการล็อกออนแบบไม่ระบุชื่อ เส้นทางเครือข่ายและตัวตนผู้ใช้เป็นข้อกำหนดที่ต่างกัน และข้อผิดพลาดนี้เกี่ยวกับอย่างหลัง

ทำไมอุโมงค์จึงใช้แทนตัวตน SMB ไม่ได้

การแชร์ซับเน็ตกับเซิร์ฟเวอร์ไม่เคยหมายถึงสิทธิ์ในการอ่านไฟล์ของเซิร์ฟเวอร์นั้น มันเพียงขจัดปัญหาเรื่องเส้นทาง Windows บันทึกเหตุการณ์ 31017 เมื่อไคลเอนต์บล็อกการล็อกออนแบบเกสต์ที่ไม่ปลอดภัย และนั่นเป็นการตัดสินใจบนเครื่องของคุณ ไม่ใช่บนเซิร์ฟเวอร์ อุโมงค์ส่งแพ็กเก็ต SMB อย่างซื่อตรงในขณะที่เซสชันเกสต์ถูกปฏิเสธ นี่คือเหตุผลที่แล็ปท็อปเครื่องหนึ่งทำงานได้บนเครือข่ายบ้านที่เหมือนกัน แต่อีกเครื่องไม่ทำงาน

มองเหตุการณ์นี้เป็นหลักฐานของนโยบาย ไม่ใช่ความขัดข้องของเครือข่าย การแก้ไขอยู่ที่ตัวตนหรือที่อุปกรณ์

อ่านนโยบายไคลเอนต์และเหตุการณ์การปฏิเสธ

ผลลัพธ์สองอย่างตัดสินคำถามได้เร็ว คือการกำหนดค่าไคลเอนต์ที่ใช้จริงและเหตุการณ์การปฏิเสธล่าสุด

Get-SmbClientConfiguration | Select-Object EnableInsecureGuestLogons, RequireSecuritySignature
Get-WinEvent -LogName Microsoft-Windows-SmbClient/Operational -MaxEvents 20 | Where-Object Id -eq 31017

การตั้งค่าเกสต์ที่ไม่ถูกต้องรวมกับข้อกำหนดลายเซ็นอธิบายความล้มเหลวก่อนการตรวจสอบเพิ่มเติมใด ๆ บันทึกเหตุการณ์ยืนยันว่าไคลเอนต์ปฏิเสธเซสชัน ไม่ใช่เซิร์ฟเวอร์ปฏิเสธข้อมูลรับรอง บันทึกเส้นทางแชร์และบัญชีที่ใช้ในการพยายามที่สำเร็จบนเครื่องอื่น เพราะเซสชันที่แคชไว้อาจทำให้การทดสอบสองครั้งดูเหมือนกันทั้งที่ไม่ได้เป็นเช่นนั้น ล้างการเชื่อมต่อที่มีอยู่ด้วย net use ก่อนเปรียบเทียบ เพื่อให้เซสชันเก่าไม่ตอบแทนเซสชันใหม่

ใช้บัญชีที่มีชื่อและคงการลงลายเซ็นไว้

วิธีแก้ที่ยั่งยืนคือบัญชีที่เซิร์ฟเวอร์รู้จักและระบุไว้อย่างชัดเจน โดยปล่อยนโยบายลายเซ็นและการเข้ารหัสไว้เหมือนเดิม ส่งข้อมูลรับรองบนการเชื่อมต่อแทนการพิมพ์ชื่อสุ่มในกล่องโต้ตอบ

net use \\fileserver.example\share /user:DOMAIN\alice *
Get-SmbConnection

การล็อกออนที่มีชื่อสร้างเซสชันที่เซิร์ฟเวอร์ตรวจสอบย้อนหลังได้ และ Get-SmbConnection แสดงไดอาเลกต์และลายเซ็นทำงานอยู่หรือไม่ เซสชันเกสต์ไม่สามารถตอบสนองข้อกำหนดลายเซ็นหรือการเข้ารหัสได้ การเปิดแฟล็กเกสต์จึงไม่สามารถช่วยนโยบายที่กำหนดข้อเหล่านั้นได้ เมื่ออุปกรณ์รุ่นเก่าไม่มีรูปแบบบัญชี ให้ถือว่าการเข้าถึงแบบเกสต์เป็นข้อยกเว้นที่บันทึกไว้อย่างชัดเจนพร้อมแผนการเปลี่ยนทดแทน อย่าอ่อนแอการลงลายเซ็นสำหรับทุกการเชื่อมต่อเพื่อรองรับอุปกรณ์เพียงเครื่องเดียว

เมื่ออุปกรณ์รู้จักแต่เกสต์

กล่อง NAS สำหรับผู้บริโภคบางรุ่นให้แชร์โดยไม่มีแนวคิดเรื่องบัญชีเลย ซึ่งเหลือทางเลือกที่ซื่อตรงสองทาง คือแยกอุปกรณ์ออกหรือเปลี่ยนใหม่ วางไว้ในเซกเมนต์ที่ไม่มีเส้นทางไปยังสิ่งอ่อนไหวใด ๆ และอย่าปล่อยให้ข้อยกเว้นเพื่อความสะดวกกลายเป็นค่าเริ่มต้นของไคลเอนต์ทั้งหมด การแชร์เกสต์ที่เก็บข้อมูลสำรองหรือข้อมูลรับรองเป็นปัญหาเรื่องข้อมูลรั่วไหล ไม่ใช่ความรำคาญของ Windows หากการอัปเดตเฟิร์มแวร์เพิ่มบัญชีผู้ใช้ นั่นคือคำตอบระยะยาวที่ถูกกว่า

บันทึกบัญชีที่ยอมรับและค่านโยบายไว้ในตั๋วงาน มิฉะนั้นคนถัดไปจะรันการทดสอบอุโมงค์ซ้ำและเจอการปฏิเสธเดียวกัน